SQL注入攻击的进阶利用与防御绕过技术详解 描述 SQL注入是一种将恶意SQL代码插入到应用程序输入参数中，从而操纵后端数据库执行的攻击技术。在基础SQL注入之上，攻击者发展了多种进阶技术来绕过防御措施，如联合查询注入、布尔盲注、时间盲注、报错注入、堆叠查询等。这些技术使攻击者能在更严格的过滤条件下依然获取数据。 解题过程 联合查询注入（Union-based Injection） 原理 ：利用SQL的 UNION 操作符将恶意查询结果与原始查询结果合并，从而在应用程序响应中直接显示数据。 步骤 ： 确定字段数 ：通过 ORDER BY 子句递增测试（如 ORDER BY 1, 2, 3 ），直到报错，确认查询的列数。 探测回显位 ：使用 UNION SELECT 1, 2, 3 观察页面中数字显示的位置，确定数据回显点。 提取数据 ：在回显位替换为目标查询，如 UNION SELECT username, password, 3 FROM users 。 关键点 ： UNION 查询必须与原始查询列数一致，且数据类型兼容。 布尔盲注（Boolean-based Blind Injection） 适用场景 ：页面无直接数据回显，但会根据SQL逻辑返回不同页面状态（如“存在/不存在”）。 原理 ：通过构造条件语句（如 AND 1=1 、 AND 1=2 ），观察页面响应差异，逐位推断数据。 步骤 ： 判断条件 ：注入 ' AND 1=1-- 与 ' AND 1=2-- ，对比页面差异确认漏洞。 逐位猜解 ： 猜数据库名长度： ' AND LENGTH(database())=1-- 递增测试。 猜字符内容： ' AND SUBSTRING(database(),1,1)='a'-- 遍历字符集。 工具辅助 ：使用SQLMap自动化猜解，减少手动工作量。 时间盲注（Time-based Blind Injection） 适用场景 ：页面响应无任何差异，无法通过布尔条件判断结果。 原理 ：利用数据库延时函数（如MySQL的 SLEEP() ），通过响应时间差异判断条件真假。 步骤 ： 触发延时 ：注入 ' AND SLEEP(5)-- ，若页面响应延迟5秒，说明注入成功。 条件判断 ：结合 IF 语句，如 ' AND IF(LENGTH(database())=1, SLEEP(5), 0)-- ，通过延时是否发生推断条件结果。 注意点 ：时间盲注效率低，需大量请求，通常依赖自动化工具。 报错注入（Error-based Injection） 原理 ：故意触发数据库报错，使错误信息中携带查询结果。 常用函数 ： MySQL： extractvalue() 、 updatexml() 利用XPATH语法错误泄露数据。 示例： ' AND extractvalue(1, concat(0x7e, (SELECT database())))-- 。 SQL Server： convert() 类型转换错误。 优势 ：无需依赖页面回显位，直接从报错信息中获取数据。 堆叠查询（Stacked Queries） 原理 ：利用分号分隔执行多条SQL语句，实现增删改操作。 示例 ： '; DROP TABLE users; -- 。 限制 ：并非所有数据库驱动支持多语句执行（如PHP的 mysql_query() 默认禁止）。 防御绕过技术 编码绕过 ：使用URL编码、十六进制编码躲避关键词过滤（如 OR → %4f%52 ）。 注释符混淆 ：利用 /**/ 、 /*!*/ （MySQL特性）分割关键词，如 SEL/**/ECT 。 大小写变异 ：如 UnIoN SeLeCT 绕过大小写敏感过滤。 双重编码 ：应用层多次解码时，将单引号编码为 %2527 （ %25 是 % 的编码）。 非常规函数 ：用 LIKE 替代 = 、 MID() 替代 SUBSTRING() 。 总结 进阶SQL注入技术通过灵活组合查询方式、利用数据库特性及编码混淆，突破基础过滤机制。防御需采用参数化查询、最小权限原则、多层级输入验证（白名单+过滤），并结合WAF的动态检测规则。