SQL注入的进阶利用与防御绕过技术详解

题目描述
SQL注入是一种通过操纵用户输入来干扰后端SQL查询的攻击技术。进阶利用涉及更复杂的场景，如联合查询受限、错误信息被屏蔽、WAF（Web应用防火墙）存在等情况下的注入手法。防御绕过则针对开发者已部署的安全措施（如输入过滤、参数化查询误用）进行突破。

知识详解

1. 基础SQL注入回顾

• 原理：用户输入被直接拼接到SQL语句中，例如：

  SELECT * FROM users WHERE username = '输入' AND password = '...';
  

  若输入为 admin' OR '1'='1，则查询变为：

  SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = '...';
  

  从而绕过身份验证。
• 关键点：通过闭合引号、注释符（如--、#）或逻辑运算符干扰原查询结构。

2. 进阶利用场景与技术
场景1：联合查询（UNION）被限制

• 问题：页面仅返回第一条结果，或UNION关键字被过滤。
• 绕过方法：
  • 子查询替代：利用子查询逐条提取数据，例如：

    ' OR (SELECT substring(password,1,1) FROM users WHERE username='admin')='a' --
    

    通过布尔盲注（页面真假差异）或时间盲注（如SLEEP(2)）判断字符。
  • 堆叠查询：部分数据库（如MySQL）支持分号分隔的多语句执行，但需后端允许。

场景2：错误信息被屏蔽（盲注）

• 布尔盲注：通过页面返回差异推断数据。
  • 步骤：
    1. 判断数据库长度：' AND (SELECT LENGTH(database()))=5 --
    2. 逐字符猜解：' AND (SELECT ASCII(SUBSTR(database(),1,1)))=97 --（97为'a'的ASCII码）
• 时间盲注：当页面无差异时，利用延时函数。
  • 示例（MySQL）：

    ' AND IF((SELECT database() LIKE 'a%'), SLEEP(2), 0) --
    

    若响应延迟，说明数据库名以'a'开头。

场景3：WAF/过滤规则绕过

• 编码混淆：
  • URL编码：' → %27，OR → %4f%52
  • 双重编码：%2527（服务器自动解码两次）
  • Unicode编码：' → %u0027（部分WAF可能忽略）
• 关键字拆分/替换：
  • 注释符分割：SEL/**/ECT 代替 SELECT
  • 大小写混合：UnIoN sElEcT
  • 同义词替换：OR → ||（某些数据库）
• 特殊字符插入：SEL%E1%80%80ECT（利用非常见空白符）

3. 防御机制绕过案例

• 案例1：输入过滤不完整
  • 若过滤SELECT但允许SELSELECTECT，可通过递归替换绕过：输入SELSELECTECT → 过滤后变为SELECT。
• 案例2：参数化查询误用
  • 错误示例：表名/列名使用参数化（如... ORDER BY ?），但参数化仅适用于值，而非结构。攻击者可操纵ORDER BY后的输入进行注入。
• 案例3：WAF规则弱检测
  • 利用非常用HTTP方法（如PUT）或Content-Type: application/json传递载荷，部分WAF可能未检测JSON内的恶意内容。

4. 防御建议

• 严格参数化查询：确保所有用户输入均作为参数传递，而非拼接。
• 最小权限原则：数据库账户仅具备必要权限（如禁止执行系统命令）。
• 多层过滤：结合白名单验证（如输入仅允许字母数字）、转义特殊字符。
• WAF深度配置：针对混淆技术更新规则库，监控异常请求模式。

总结
SQL注入进阶利用核心在于灵活适应环境限制（如盲注、编码混淆），而防御需从代码层、架构层到网络层形成纵深防护。