1. 从零理解 sqllibs 靶场的训练价值很多人第一次接触 SQL 注入都是从 sqllibs 这个靶场开始的。它不像真实业务系统那样复杂但每一关都精准地指向一个具体的注入场景——联合查询、报错注入、布尔盲注、时间盲注、堆叠注入、二次注入等等。我见过不少新手一上来就打开 sqlmap对着 URL 一顿-u猛跑结果要么跑不出来要么跑出来了也不知道为什么能跑出来。这种工具一跑答案到手的做法短期看效率高长期看等于什么都没学到。sqllibs 的前十关Less-1 到 Less-10是整个靶场里最基础、也最值得反复琢磨的部分。它们覆盖了基于 GET 请求的字符型注入、数字型注入、单引号闭合、双引号闭合、括号闭合等核心变体。你把这十关吃透后面几十关的盲注、堆叠、二次注入才有根基。而 sqlmap 作为自动化注入工具它的价值不在于替你答题而在于帮你验证手工判断的结论、节省重复劳动、以及在复杂场景下提供系统化的探测思路。这篇文章面向两类人一类是刚学完 SQL 基础语法、想通过靶场建立实战直觉的新手另一类是已经会手工注入、但想搞清楚 sqlmap 到底在背后做了什么、参数该怎么调的老手。我会把 Less-1 到 Less-10 逐关拆开讲清楚每关的注入点特征、手工验证思路、sqlmap 的对应命令以及那些文档里不会写的踩坑经验。所有操作都在本地搭建的靶场环境中进行目的是理解注入原理和防御思路请勿对任何未授权的系统进行测试。提示本文所有命令和步骤仅用于本地靶场学习。未经授权对他人系统进行注入测试属于违法行为务必守住这条底线。2. 环境搭建与 sqlmap 基础参数速查2.1 靶场环境的本地部署要点sqllibs 通常跑在 PHP MySQL 环境里。我用的是集成环境把源码放到 Web 根目录下改一下数据库连接配置就能跑。这里有个新手最容易忽略的点数据库连接文件里的用户名、密码、库名必须和你本地 MySQL 实际的一致否则靶场页面会直接报连接错误而不是给你注入点。很多人以为是靶场坏了其实是配置没对上。部署完成后访问http://本地地址/sqllibs/Less-1/?id1如果能看到正常回显的用户名和密码说明环境通了。这一步看似简单但它是后面所有操作的前提。我建议在浏览器里先把 Less-1 到 Less-10 都点一遍观察每个页面的 URL 参数形态和回显内容心里先有个谱。2.2 sqlmap 常用参数的分层理解sqlmap 的参数很多但真正高频的就那么几个。我把它们分成三层来记比死记硬背强得多。第一层是目标指定层解决打哪里的问题参数作用使用场景-u指定目标 URL单目标注入-r从文件读取 HTTP 请求需要携带 Cookie、Header 的场景--data指定 POST 数据POST 型注入-p指定要测试的参数多参数时锁定目标第二层是探测控制层解决怎么打的问题参数作用使用场景--batch所有交互自动选默认脚本化、无人值守--level探测等级 1-5等级越高测试的 Header 越多--risk风险等级 1-3等级越高越可能触发写操作--technique指定注入技术如BEUSTQ分别对应各类技术第三层是数据提取层解决拿什么的问题参数作用使用场景--dbs枚举所有数据库信息收集第一步--tables枚举表锁定库之后--columns枚举列锁定表之后--dump导出数据最终取数据我的习惯是先用最小参数跑通确认注入点存在再逐步加参数深入。一上来就--level5 --risk3 --dump全开不仅慢还容易在靶场里触发一些意料之外的行为反而不利于理解。2.3 为什么建议先手工再工具这一点我必须强调。sqlmap 跑出来的结果如果你不能用手工注入复现一遍那这个结果对你来说就是黑盒。比如 sqlmap 告诉你存在布尔盲注你应该能自己构造and 11和and 12看到页面差异。只有手工验证过你才真正理解工具在做什么遇到工具跑不出来的情况你才知道从哪个角度去排查。3. Less-1 到 Less-5闭合方式的四种变体3.1 Less-1 单引号字符型注入的完整链路Less-1 是最经典的字符型注入。URL 是?id1后端 SQL 大概是SELECT * FROM users WHERE id$id LIMIT 0,1这种形态。你输入1页面报语法错误说明单引号被带进了 SQL 语句闭合出了问题。手工验证的思路是先?id1 and 11 --页面正常回显再?id1 and 12 --页面回显异常。这一正一反就确认了注入点存在。注意--里的加号在 URL 里代表空格作用是注释掉后面的LIMIT 0,1这是新手最容易漏的一步——不注释掉你的 payload 后面还挂着原语句语法就乱了。sqlmap 的命令很直接sqlmap -u http://本地地址/sqllibs/Less-1/?id1 --batch --dbs跑通后它会告诉你当前数据库、数据库版本、以及所有库名。这里有个经验--batch让工具自动选默认选项适合快速验证但如果你想看清楚每一步的探测过程就去掉--batch手动确认每个提示。3.2 Less-2 数字型注入的判定差异Less-2 的 SQL 语句是WHERE id$id没有引号包裹。你输入1会报错但输入1 and 11却正常。这个差异就是判断字符型和数字型的关键数字型不需要闭合引号直接拼and就行。很多人在这里会犯一个错把 Less-1 的 payload 直接套到 Less-2带着单引号去跑结果一直报错还以为是工具问题。其实只要去掉单引号?id1 and 11 --就能通。sqlmap 对数字型的识别很智能命令和 Less-1 几乎一样sqlmap -u http://本地地址/sqllibs/Less-2/?id1 --batch --dbs工具会自动判断出这是数字型不需要你手动指定。但你要知道它在背后做了什么判断这才是重点。3.3 Less-3 括号加单引号的闭合陷阱Less-3 的语句形态是WHERE id($id)多了个括号。你输入1报错输入1) --才正常。这里的坑在于闭合符号变成了)而不是单纯的。如果你只闭合单引号不闭合括号SQL 语法依然错误。手工验证时?id1) and 11 --正常?id1) and 12 --异常注入点确认。sqlmap 命令不变它内置的 payload 库会自动尝试各种闭合组合。我实测下来sqlmap 对这类括号闭合的识别率很高基本不用额外参数。3.4 Less-4 双引号加括号的闭合组合Less-4 把单引号换成了双引号语句是WHERE id($id)。闭合符号是)。这个变体的意义在于提醒你闭合符号不只有单引号双引号、括号、甚至反引号都可能出现。真实业务里开发者用双引号包裹字符串的情况并不少见。手工验证?id1) and 11 --正常?id1) and 12 --异常。sqlmap 同样能自动识别。到这一关你应该已经建立起一个直觉不管外层怎么包裹核心都是找到那个能让 SQL 语法恢复正常的闭合序列。3.5 Less-5 报错注入与盲注的分水岭Less-5 是个转折点。它的页面不再回显查询结果只回显你输入了 id之类的固定信息。这意味着联合查询union select拿不到数据了你得换思路——要么用报错注入把数据挤到错误信息里要么用布尔/时间盲注一点点问出来。手工验证布尔盲注?id1 and 11 --页面显示正常信息?id1 and 12 --页面显示异常信息。虽然都看不到数据但页面内容有差异这就是布尔盲注的基础。sqlmap 在这一关会自动切换到盲注技术sqlmap -u http://本地地址/sqllibs/Less-5/?id1 --batch --dbs --techniqueB--techniqueB指定只用布尔盲注。实测下来Less-5 用布尔盲注跑库名会比较慢因为每个字符都要多次比较。如果想快一点可以试试报错注入--techniqueE但前提是页面会把数据库错误信息回显出来。Less-5 具体回显什么取决于你的 PHP 配置这点要自己观察。注意盲注的速度和网络延迟、页面响应时间强相关。本地靶场通常很快但如果你在虚拟机里跑响应慢一点sqlmap 的探测时间会明显拉长。这时候可以调--time-sec参数控制时间盲注的等待秒数默认是 5 秒本地可以调到 2 秒加速。4. Less-6 到 Less-10盲注场景下的工具策略4.1 Less-6 双引号盲注的识别Less-6 和 Less-5 类似也是盲注但闭合符号变成了双引号。语句形态是WHERE id$id。手工验证?id1 and 11 --正常?id1 and 12 --异常。sqlmap 命令sqlmap -u http://本地地址/sqllibs/Less-6/?id1 --batch --dbs工具会自动识别双引号闭合。这一关的价值在于让你习惯闭合符号变化 盲注的组合。真实场景里你不可能每次都靠猜sqlmap 的自动识别能帮你省不少事但你要能看懂它的判断逻辑。4.2 Less-7 文件写入场景的特殊处理Less-7 的标题提示是dump into outfile涉及文件写入。它的闭合形态是))语句大概是WHERE id(($id))。这一关除了注入还涉及 MySQL 的INTO OUTFILE写文件功能前提是数据库用户有 FILE 权限且secure_file_priv配置允许写入。手工验证注入点?id1)) and 11 --正常?id1)) and 12 --异常。sqlmap 跑数据提取没问题但如果你想复现写文件需要额外参数sqlmap -u http://本地地址/sqllibs/Less-7/?id1 --batch --file-write本地文件 --file-dest目标路径这里有个大坑secure_file_priv如果设成了NULL任何路径都不允许写如果设成了某个目录只能写到那个目录。很多人跑这一关失败不是注入点的问题而是数据库配置卡住了。我建议先在 MySQL 里执行SHOW VARIABLES LIKE secure_file_priv;确认配置再决定要不要折腾写文件。4.3 Less-8 布尔盲注的效率优化Less-8 是典型的布尔盲注闭合是单引号页面只回显两种状态。这一关用 sqlmap 跑速度是最大的痛点。默认配置下跑一个库名可能要几分钟甚至更久。我的优化经验有三条。第一用--techniqueB明确指定布尔盲注避免工具在多种技术间反复试探。第二调--threads增加并发但注意靶场环境并发太高可能不稳定一般 5 到 10 比较稳妥。第三如果只是想验证注入点不要一上来就--dbs先用--current-db拿当前库名数据量小跑得快。sqlmap -u http://本地地址/sqllibs/Less-8/?id1 --batch --current-db --techniqueB --threads54.4 Less-9 时间盲注的等待逻辑Less-9 是时间盲注页面无论输入什么都返回同样的内容你只能靠响应时间来判断真假。手工验证?id1 and sleep(5) --如果页面卡了 5 秒才返回说明注入成功。sqlmap 跑时间盲注是最慢的因为每个判断都要等一个sleep周期。默认--time-sec5本地靶场可以调到 2 甚至 1能大幅提速sqlmap -u http://本地地址/sqllibs/Less-9/?id1 --batch --current-db --techniqueT --time-sec2这里要提醒一句--time-sec调太低可能导致误判因为网络抖动本身就会造成延迟。本地环境稳定调到 2 秒问题不大如果是跨网络的真实环境建议保持默认或更高。4.5 Less-10 双引号时间盲注的收尾Less-10 是 Less-9 的双引号版本闭合符号变成。手工验证?id1 and sleep(5) --。sqlmap 命令和 Less-9 一致工具会自动识别闭合符号。到这一关前十关的闭合变体和注入类型基本覆盖全了单引号、双引号、括号、数字型联合查询、报错、布尔盲注、时间盲注。你会发现一个规律——闭合符号决定 payload 的前缀注入类型决定数据提取的方式。把这两个维度理清楚后面几十关都是在这个框架里做排列组合。5. 那些文档里不会写的踩坑实录5.1 参数没注释掉导致的假失败我见过太多人卡在第一步payload 写对了但忘了注释掉原语句后面的内容。比如 Less-1 里?id1 and 11后面还跟着LIMIT 0,1不注释掉就是语法错误。--、#、--都是常见的注释方式但在 URL 里#会被浏览器当成锚点截断所以更常用--。这个细节很多教程一笔带过但新手就是在这里反复碰壁。5.2 sqlmap 缓存导致的结果不一致sqlmap 会把探测结果缓存到本地下次跑同一个目标时可能直接读缓存。有时候你改了靶场配置重新跑却发现结果没变就是缓存在作怪。解决办法是加--flush-session清掉会话缓存强制重新探测。这个坑我在调试 Less-7 写文件时踩过明明改了secure_file_privsqlmap 还是报旧结果清缓存后才正常。5.3 盲注跑一半断掉的恢复策略盲注跑得慢中途网络抖动或者手滑 CtrlC 都可能中断。sqlmap 支持断点续跑但前提是你没清缓存。中断后重新执行同样的命令它会问你是否继续上次的会话选继续就能接着跑。如果你不小心清了缓存那就只能从头再来。所以跑盲注前先确认命令没问题再让它慢慢跑别中途乱动。5.4 level 和 risk 开太高引发的意外--level5 --risk3是很多教程推荐的全开配置但在 sqllibs 这种靶场里开太高反而可能触发一些非预期的请求比如尝试 UPDATE、DELETE 之类的操作。虽然靶场数据无所谓但这会干扰你对注入类型的判断。我的建议是前十关用默认--level1 --risk1就够了跑不出来再逐级往上加别一上来就拉满。6. 从靶场到实战的思维迁移6.1 闭合判断的通用方法论前十关教给你的最重要的一件事是闭合判断的方法论。面对一个陌生注入点你可以按这个顺序试先输入单引号看是否报错再试双引号再试括号组合再试纯数字拼接。每一步观察页面回显的变化报错信息里往往直接告诉你闭合哪里出了问题。这个方法不依赖工具是手工注入的基本功。6.2 注入类型与数据提取策略的对应关系不同的注入类型数据提取策略完全不同。有回显用联合查询最快有报错信息用报错注入什么都没有就用盲注。sqlmap 的--technique参数就是让你手动指定这个策略的。理解了这个对应关系你就能在工具跑得慢的时候主动换一种更高效的技术而不是干等。6.3 工具是验证器不是答案生成器最后说个心态问题。sqlmap 很强但它强在自动化和系统化不强在替你理解。你把前十关用手工跑一遍再用 sqlmap 跑一遍对比两者的过程和结果收获会比单纯看工具输出大得多。工具告诉你是什么手工告诉你为什么两者结合才是真正的掌握。我在实际带新人的过程中发现那些愿意先手工啃一遍再上工具的人后面遇到复杂注入场景时明显更从容。因为他们脑子里有一套完整的判断链路工具只是加速器而不是拐杖。sqllibs 前十关看似简单但它是建立这套链路的最佳起点值得你花时间反复打磨。 
长河君 · 2026/10/15 19:35:45 · 阅读 1.2k sqllibs靶场Less-1到Less-10：SQL注入闭合技巧与sqlmap实战
1. 从零理解 sqllibs 靶场的训练价值很多人第一次接触 SQL 注入都是从 sqllibs 这个靶场开始的。它不像真实业务系统那样复杂但每一关都精准地指向一个具体的注入场景——联合查询、报错注入、布尔盲注、时间盲注、堆叠注入、二次注入等等。我见过不少新手一上来就打开 sqlmap对着 URL 一顿-u猛跑结果要么跑不出来要么跑出来了也不知道为什么能跑出来。这种工具一跑答案到手的做法短期看效率高长期看等于什么都没学到。sqllibs 的前十关Less-1 到 Less-10是整个靶场里最基础、也最值得反复琢磨的部分。它们覆盖了基于 GET 请求的字符型注入、数字型注入、单引号闭合、双引号闭合、括号闭合等核心变体。你把这十关吃透后面几十关的盲注、堆叠、二次注入才有根基。而 sqlmap 作为自动化注入工具它的价值不在于替你答题而在于帮你验证手工判断的结论、节省重复劳动、以及在复杂场景下提供系统化的探测思路。这篇文章面向两类人一类是刚学完 SQL 基础语法、想通过靶场建立实战直觉的新手另一类是已经会手工注入、但想搞清楚 sqlmap 到底在背后做了什么、参数该怎么调的老手。我会把 Less-1 到 Less-10 逐关拆开讲清楚每关的注入点特征、手工验证思路、sqlmap 的对应命令以及那些文档里不会写的踩坑经验。所有操作都在本地搭建的靶场环境中进行目的是理解注入原理和防御思路请勿对任何未授权的系统进行测试。提示本文所有命令和步骤仅用于本地靶场学习。未经授权对他人系统进行注入测试属于违法行为务必守住这条底线。2. 环境搭建与 sqlmap 基础参数速查2.1 靶场环境的本地部署要点sqllibs 通常跑在 PHP MySQL 环境里。我用的是集成环境把源码放到 Web 根目录下改一下数据库连接配置就能跑。这里有个新手最容易忽略的点数据库连接文件里的用户名、密码、库名必须和你本地 MySQL 实际的一致否则靶场页面会直接报连接错误而不是给你注入点。很多人以为是靶场坏了其实是配置没对上。部署完成后访问http://本地地址/sqllibs/Less-1/?id1如果能看到正常回显的用户名和密码说明环境通了。这一步看似简单但它是后面所有操作的前提。我建议在浏览器里先把 Less-1 到 Less-10 都点一遍观察每个页面的 URL 参数形态和回显内容心里先有个谱。2.2 sqlmap 常用参数的分层理解sqlmap 的参数很多但真正高频的就那么几个。我把它们分成三层来记比死记硬背强得多。第一层是目标指定层解决打哪里的问题参数作用使用场景-u指定目标 URL单目标注入-r从文件读取 HTTP 请求需要携带 Cookie、Header 的场景--data指定 POST 数据POST 型注入-p指定要测试的参数多参数时锁定目标第二层是探测控制层解决怎么打的问题参数作用使用场景--batch所有交互自动选默认脚本化、无人值守--level探测等级 1-5等级越高测试的 Header 越多--risk风险等级 1-3等级越高越可能触发写操作--technique指定注入技术如BEUSTQ分别对应各类技术第三层是数据提取层解决拿什么的问题参数作用使用场景--dbs枚举所有数据库信息收集第一步--tables枚举表锁定库之后--columns枚举列锁定表之后--dump导出数据最终取数据我的习惯是先用最小参数跑通确认注入点存在再逐步加参数深入。一上来就--level5 --risk3 --dump全开不仅慢还容易在靶场里触发一些意料之外的行为反而不利于理解。2.3 为什么建议先手工再工具这一点我必须强调。sqlmap 跑出来的结果如果你不能用手工注入复现一遍那这个结果对你来说就是黑盒。比如 sqlmap 告诉你存在布尔盲注你应该能自己构造and 11和and 12看到页面差异。只有手工验证过你才真正理解工具在做什么遇到工具跑不出来的情况你才知道从哪个角度去排查。3. Less-1 到 Less-5闭合方式的四种变体3.1 Less-1 单引号字符型注入的完整链路Less-1 是最经典的字符型注入。URL 是?id1后端 SQL 大概是SELECT * FROM users WHERE id$id LIMIT 0,1这种形态。你输入1页面报语法错误说明单引号被带进了 SQL 语句闭合出了问题。手工验证的思路是先?id1 and 11 --页面正常回显再?id1 and 12 --页面回显异常。这一正一反就确认了注入点存在。注意--里的加号在 URL 里代表空格作用是注释掉后面的LIMIT 0,1这是新手最容易漏的一步——不注释掉你的 payload 后面还挂着原语句语法就乱了。sqlmap 的命令很直接sqlmap -u http://本地地址/sqllibs/Less-1/?id1 --batch --dbs跑通后它会告诉你当前数据库、数据库版本、以及所有库名。这里有个经验--batch让工具自动选默认选项适合快速验证但如果你想看清楚每一步的探测过程就去掉--batch手动确认每个提示。3.2 Less-2 数字型注入的判定差异Less-2 的 SQL 语句是WHERE id$id没有引号包裹。你输入1会报错但输入1 and 11却正常。这个差异就是判断字符型和数字型的关键数字型不需要闭合引号直接拼and就行。很多人在这里会犯一个错把 Less-1 的 payload 直接套到 Less-2带着单引号去跑结果一直报错还以为是工具问题。其实只要去掉单引号?id1 and 11 --就能通。sqlmap 对数字型的识别很智能命令和 Less-1 几乎一样sqlmap -u http://本地地址/sqllibs/Less-2/?id1 --batch --dbs工具会自动判断出这是数字型不需要你手动指定。但你要知道它在背后做了什么判断这才是重点。3.3 Less-3 括号加单引号的闭合陷阱Less-3 的语句形态是WHERE id($id)多了个括号。你输入1报错输入1) --才正常。这里的坑在于闭合符号变成了)而不是单纯的。如果你只闭合单引号不闭合括号SQL 语法依然错误。手工验证时?id1) and 11 --正常?id1) and 12 --异常注入点确认。sqlmap 命令不变它内置的 payload 库会自动尝试各种闭合组合。我实测下来sqlmap 对这类括号闭合的识别率很高基本不用额外参数。3.4 Less-4 双引号加括号的闭合组合Less-4 把单引号换成了双引号语句是WHERE id($id)。闭合符号是)。这个变体的意义在于提醒你闭合符号不只有单引号双引号、括号、甚至反引号都可能出现。真实业务里开发者用双引号包裹字符串的情况并不少见。手工验证?id1) and 11 --正常?id1) and 12 --异常。sqlmap 同样能自动识别。到这一关你应该已经建立起一个直觉不管外层怎么包裹核心都是找到那个能让 SQL 语法恢复正常的闭合序列。3.5 Less-5 报错注入与盲注的分水岭Less-5 是个转折点。它的页面不再回显查询结果只回显你输入了 id之类的固定信息。这意味着联合查询union select拿不到数据了你得换思路——要么用报错注入把数据挤到错误信息里要么用布尔/时间盲注一点点问出来。手工验证布尔盲注?id1 and 11 --页面显示正常信息?id1 and 12 --页面显示异常信息。虽然都看不到数据但页面内容有差异这就是布尔盲注的基础。sqlmap 在这一关会自动切换到盲注技术sqlmap -u http://本地地址/sqllibs/Less-5/?id1 --batch --dbs --techniqueB--techniqueB指定只用布尔盲注。实测下来Less-5 用布尔盲注跑库名会比较慢因为每个字符都要多次比较。如果想快一点可以试试报错注入--techniqueE但前提是页面会把数据库错误信息回显出来。Less-5 具体回显什么取决于你的 PHP 配置这点要自己观察。注意盲注的速度和网络延迟、页面响应时间强相关。本地靶场通常很快但如果你在虚拟机里跑响应慢一点sqlmap 的探测时间会明显拉长。这时候可以调--time-sec参数控制时间盲注的等待秒数默认是 5 秒本地可以调到 2 秒加速。4. Less-6 到 Less-10盲注场景下的工具策略4.1 Less-6 双引号盲注的识别Less-6 和 Less-5 类似也是盲注但闭合符号变成了双引号。语句形态是WHERE id$id。手工验证?id1 and 11 --正常?id1 and 12 --异常。sqlmap 命令sqlmap -u http://本地地址/sqllibs/Less-6/?id1 --batch --dbs工具会自动识别双引号闭合。这一关的价值在于让你习惯闭合符号变化 盲注的组合。真实场景里你不可能每次都靠猜sqlmap 的自动识别能帮你省不少事但你要能看懂它的判断逻辑。4.2 Less-7 文件写入场景的特殊处理Less-7 的标题提示是dump into outfile涉及文件写入。它的闭合形态是))语句大概是WHERE id(($id))。这一关除了注入还涉及 MySQL 的INTO OUTFILE写文件功能前提是数据库用户有 FILE 权限且secure_file_priv配置允许写入。手工验证注入点?id1)) and 11 --正常?id1)) and 12 --异常。sqlmap 跑数据提取没问题但如果你想复现写文件需要额外参数sqlmap -u http://本地地址/sqllibs/Less-7/?id1 --batch --file-write本地文件 --file-dest目标路径这里有个大坑secure_file_priv如果设成了NULL任何路径都不允许写如果设成了某个目录只能写到那个目录。很多人跑这一关失败不是注入点的问题而是数据库配置卡住了。我建议先在 MySQL 里执行SHOW VARIABLES LIKE secure_file_priv;确认配置再决定要不要折腾写文件。4.3 Less-8 布尔盲注的效率优化Less-8 是典型的布尔盲注闭合是单引号页面只回显两种状态。这一关用 sqlmap 跑速度是最大的痛点。默认配置下跑一个库名可能要几分钟甚至更久。我的优化经验有三条。第一用--techniqueB明确指定布尔盲注避免工具在多种技术间反复试探。第二调--threads增加并发但注意靶场环境并发太高可能不稳定一般 5 到 10 比较稳妥。第三如果只是想验证注入点不要一上来就--dbs先用--current-db拿当前库名数据量小跑得快。sqlmap -u http://本地地址/sqllibs/Less-8/?id1 --batch --current-db --techniqueB --threads54.4 Less-9 时间盲注的等待逻辑Less-9 是时间盲注页面无论输入什么都返回同样的内容你只能靠响应时间来判断真假。手工验证?id1 and sleep(5) --如果页面卡了 5 秒才返回说明注入成功。sqlmap 跑时间盲注是最慢的因为每个判断都要等一个sleep周期。默认--time-sec5本地靶场可以调到 2 甚至 1能大幅提速sqlmap -u http://本地地址/sqllibs/Less-9/?id1 --batch --current-db --techniqueT --time-sec2这里要提醒一句--time-sec调太低可能导致误判因为网络抖动本身就会造成延迟。本地环境稳定调到 2 秒问题不大如果是跨网络的真实环境建议保持默认或更高。4.5 Less-10 双引号时间盲注的收尾Less-10 是 Less-9 的双引号版本闭合符号变成。手工验证?id1 and sleep(5) --。sqlmap 命令和 Less-9 一致工具会自动识别闭合符号。到这一关前十关的闭合变体和注入类型基本覆盖全了单引号、双引号、括号、数字型联合查询、报错、布尔盲注、时间盲注。你会发现一个规律——闭合符号决定 payload 的前缀注入类型决定数据提取的方式。把这两个维度理清楚后面几十关都是在这个框架里做排列组合。5. 那些文档里不会写的踩坑实录5.1 参数没注释掉导致的假失败我见过太多人卡在第一步payload 写对了但忘了注释掉原语句后面的内容。比如 Less-1 里?id1 and 11后面还跟着LIMIT 0,1不注释掉就是语法错误。--、#、--都是常见的注释方式但在 URL 里#会被浏览器当成锚点截断所以更常用--。这个细节很多教程一笔带过但新手就是在这里反复碰壁。5.2 sqlmap 缓存导致的结果不一致sqlmap 会把探测结果缓存到本地下次跑同一个目标时可能直接读缓存。有时候你改了靶场配置重新跑却发现结果没变就是缓存在作怪。解决办法是加--flush-session清掉会话缓存强制重新探测。这个坑我在调试 Less-7 写文件时踩过明明改了secure_file_privsqlmap 还是报旧结果清缓存后才正常。5.3 盲注跑一半断掉的恢复策略盲注跑得慢中途网络抖动或者手滑 CtrlC 都可能中断。sqlmap 支持断点续跑但前提是你没清缓存。中断后重新执行同样的命令它会问你是否继续上次的会话选继续就能接着跑。如果你不小心清了缓存那就只能从头再来。所以跑盲注前先确认命令没问题再让它慢慢跑别中途乱动。5.4 level 和 risk 开太高引发的意外--level5 --risk3是很多教程推荐的全开配置但在 sqllibs 这种靶场里开太高反而可能触发一些非预期的请求比如尝试 UPDATE、DELETE 之类的操作。虽然靶场数据无所谓但这会干扰你对注入类型的判断。我的建议是前十关用默认--level1 --risk1就够了跑不出来再逐级往上加别一上来就拉满。6. 从靶场到实战的思维迁移6.1 闭合判断的通用方法论前十关教给你的最重要的一件事是闭合判断的方法论。面对一个陌生注入点你可以按这个顺序试先输入单引号看是否报错再试双引号再试括号组合再试纯数字拼接。每一步观察页面回显的变化报错信息里往往直接告诉你闭合哪里出了问题。这个方法不依赖工具是手工注入的基本功。6.2 注入类型与数据提取策略的对应关系不同的注入类型数据提取策略完全不同。有回显用联合查询最快有报错信息用报错注入什么都没有就用盲注。sqlmap 的--technique参数就是让你手动指定这个策略的。理解了这个对应关系你就能在工具跑得慢的时候主动换一种更高效的技术而不是干等。6.3 工具是验证器不是答案生成器最后说个心态问题。sqlmap 很强但它强在自动化和系统化不强在替你理解。你把前十关用手工跑一遍再用 sqlmap 跑一遍对比两者的过程和结果收获会比单纯看工具输出大得多。工具告诉你是什么手工告诉你为什么两者结合才是真正的掌握。我在实际带新人的过程中发现那些愿意先手工啃一遍再上工具的人后面遇到复杂注入场景时明显更从容。因为他们脑子里有一套完整的判断链路工具只是加速器而不是拐杖。sqllibs 前十关看似简单但它是建立这套链路的最佳起点值得你花时间反复打磨。