SQL注入学习笔记#

SELECT#

1
SELECT column1, column2
2
FROM table_name
3
WHERE condition;

含义：

• SELECT：查询哪些字段。
• FROM：从哪张表查询。
• WHERE：查询条件。
• ;：语句结束符。

假设有一张 users 表：

执行：

1
SELECT * FROM users WHERE id = 1;

只会返回 admin。

如果条件变成：

1
SELECT * FROM users WHERE id = 1 OR 1=1;

where后为真，会返回所有。

WHERE#

需要熟悉以下运算符：

特别注意 AND 和 OR 的优先级。

例如：

1
SELECT * FROM users
2
WHERE username = 'admin'
3
AND password = '123'
4
OR 1=1;

逻辑上相当于：

1
(username = 'admin' AND password = '123')
2
OR 1=1

因为 AND 的优先级高于 OR。

这意味着 OR 1=1 可能让整个条件恒真。

字符串与数字#

构造payload时要先清楚类型。

数字条件：

1
SELECT * FROM users WHERE id = 1;

字符串条件：

1
SELECT * FROM users WHERE username = 'admin';

两者区别在于：

• 数字通常不需要引号。
• 字符串通常需要引号。
• 字符串中的引号需要正确闭合。

假设服务端采用字符串拼接：

1
String sql = "SELECT * FROM users WHERE username = '" + input + "'";

用户输入：

1
admin

最终 SQL：

1
SELECT * FROM users WHERE username = 'admin';

如果输入中包含用于结束字符串的字符，就可能改变后续 SQL 的结构。

这就是所谓的字符串上下文注入。

注释符#

注释符的作用通常很大，因为注入sql后可能后面还有别的条件，引号啥的。

order by排序#

1
SELECT * FROM users
2
ORDER BY id ASC;

• ASC：升序。
• DESC：降序。

SQLi 中它有一个很重要的用途：判断查询结果有多少列。

例如：

1
SELECT username, email, age
2
FROM users
3
ORDER BY 1;

这里 ORDER BY 1 表示按照查询结果中的第一列排序。

如果改成：

1
ORDER BY 3;

则按照第三列排序。

在适当的查询上下文中，可以逐渐增加序号：

1
ORDER BY 1
2
ORDER BY 2
3
ORDER BY 3
4
ORDER BY 4

当序号超过实际查询列数时，数据库可能报错。

UNION联合查询#

这是 SQL 注入必须掌握的核心语法之一。

正常 SQL：

1
SELECT username FROM users;

联合查询：

1
SELECT username FROM users
2
UNION
3
SELECT name FROM administrators;

UNION 可以把两条查询的结果合并。

但是有两个重要限制：

1. 两条 SELECT 查询必须具有相同数量的列。
2. 对应列的数据类型必须兼容。

例如：

1
SELECT username, age FROM users
2
UNION
3
SELECT name, id FROM administrators;

这里两边都是两列。

如果第一条查询是三列，第二条查询只有两列，就无法直接 UNION。

当应用程序把查询结果展示在页面上时，我们有机会让数据库返回其他表的数据。

这是 PortSwigger 中 UNION-based SQLi 的核心原理。

GROUP BY 和 HAVING#

1
SELECT department, COUNT(*)
2
FROM employees
3
GROUP BY department
4
HAVING COUNT(*) > 5;

• GROUP BY：分组。
• COUNT(*)：统计记录数量。
• HAVING：筛选分组后的结果。

注意：

WHERE 在分组前筛选记录，HAVING 在分组后筛选结果。

子查询#

子查询就是 SQL 中嵌套 SQL。

例如：

1
SELECT username
2
FROM users
3
WHERE id = (
4
    SELECT user_id
5
    FROM orders
6
    WHERE order_id = 100
7
);

内部的 SELECT 先提供一个结果，外部 SELECT 再使用这个结果。

SQLi 中子查询非常重要，因为有些盲注场景无法直接回显数据，只能通过条件判断提取数据。

例如：

1
SELECT *
2
FROM users
3
WHERE username = 'admin'
4
AND (
5
    SELECT SUBSTRING(password, 1, 1)
6
    FROM users
7
    WHERE username = 'administrator'
8
) = 'a';

这个例子是在判断 administrator 密码的第一个字符是不是 a。

如果页面出现某种可观察的差异，就可以判断条件是否成立。

LIMIT 和 OFFSET#

MySQL、PostgreSQL 等数据库常见：

1
SELECT * FROM users
2
LIMIT 10 OFFSET 20;

意思是跳过前 20 条，返回后面的 10 条。

SQL Server 和 Oracle 在分页语法上有所不同。

它们在 SQLi 中可能涉及结果集控制、数据提取等场景。

information_schema#

MySQL 和 PostgreSQL 等数据库提供了数据库元数据查询机制。

以 MySQL 为例：

查询数据库：

1
SELECT schema_name
2
FROM information_schema.schemata;

查询表：

1
SELECT table_name
2
FROM information_schema.tables
3
WHERE table_schema = '目标数据库';

查询字段：

1
SELECT column_name
2
FROM information_schema.columns
3
WHERE table_name = 'users';

1.经典注入（In-band SQLi）#

特点：数据库查询结果能够通过正常 HTTP 响应观察到。

主要分成两类。

1
SELECT * FROM products
2
WHERE category = 'Gifts'
3
AND released = 1;

1
' AND 1=1--

1
' AND 1=2--

1
确认存在 SQL 注入
2
       ↓
3
判断原始查询列数
4
       ↓
5
判断哪些列可以显示文本
6
       ↓
7
确定数据库类型
8
       ↓
9
查询数据库元数据
10
       ↓
11
获取目标表数据

1
SELECT id, name, price FROM products;

1
SELECT id, name, price FROM products
2
UNION
3
SELECT 1, 'test', 2;

1
UNION SELECT NULL, NULL, NULL

2. Error-based SQLi（报错注入）#

核心思想：

让数据库产生可观察的错误，并利用错误信息推断数据。

例如：

• 数据类型转换错误。
• 数学运算错误。
• XML 函数错误。
• 数据库函数错误。

它的价值在于：即使页面不正常展示查询结果，数据库错误也可能泄露信息。

你需要理解：

1. SQL 语法错误与运行时错误的区别。
2. 错误信息是否被应用程序返回。
3. 数据库错误是否包含查询内容或数据。
4. 不同数据库错误行为的区别。

注意，现代应用程序经常会隐藏数据库错误，所以报错注入不一定可用。

3. Blind SQLi（盲注）#

数据库可能已经执行了注入，但页面不会直接显示查询结果。

我们只能通过其他信号判断。

主要有三种。

1
SELECT * FROM users
2
WHERE username = 'admin';

1
SUBSTRING(password, 1, 1) = 'a'

1
判断字符串长度
2
      ↓
3
判断第一个字符
4
      ↓
5
判断第二个字符
6
      ↓
7
逐字符提取
8
      ↓
9
还原目标字符串

1
SELECT IF(1=1, SLEEP(5), 0);

1
SELECT IF(1=2, SLEEP(5), 0);

1
SELECT * FROM users;

1
SELECT * FROM users;
2
SELECT * FROM products;

1. 字符串闭合#

原始 SQL：

1
WHERE username = 'INPUT'

思考：

• 输入前面是否有单引号？
• 后面是否还有单引号？
• 输入能否结束当前字符串？
• 是否还有其他语法需要闭合？

2. 括号闭合#

原始 SQL：

1
WHERE (username = 'INPUT')

这里除了字符串之外，还有一个括号。

因此，你需要考虑 SQL 最终是否仍然满足括号匹配。

3. 注释截断#

原始 SQL：

1
SELECT * FROM users
2
WHERE username = 'INPUT'
3
AND active = 1;

即使你成功闭合字符串，后面仍然存在：

1
AND active = 1

因此需要考虑后续语句如何处理。通常直接注释掉即可。