sql注入的基本基本步骤

一个登录框，输入 admin' or 步骤'1'='1，密码随便填，基本点登录——如果直接进了后台，步骤恭喜你，基本撞上了最经典的步骤SQL注入。这活儿不复杂，基本但每一步都得踩实。步骤

第一步，基本找入口。步骤别急着乱试，基本先看URL参数。步骤 ?基本id=1、?步骤page=2、搜索框、基本筛选条件，凡是能和数据库沾边的，都可能是突破口。我习惯先抓包，看GET和POST请求里哪些参数在跟后端交互。有些站点把参数藏在cookie里，或者藏在隐藏表单字段中，那也得盯紧。

第二步，判断注入点。老办法，加个单引号 '，看页面报不报错。报错了，说明参数没过滤，直接拼进SQL了。没报错也别灰心，试试 1 and 1=1 和 1 and 1=2，前者页面正常，后者页面异常，那就是数字型注入。字符串型就试 1' and '1'='1 和 1' and '1'='2。有时候页面不显示任何错误，那就用时间盲注，if(1=1,sleep(3),0)，看响应时间差。我见过一个站点，所有报错都被吞了，但响应时间差了整整五秒，照样能测出来。

第三步，确认数据库类型和版本。这一步很关键，不同数据库的语法差异大得离谱。MySQL可以用 union select version()，SQL Server得用 @@version，Oracle要查 v$version 视图。判断方法也简单，注入点后面拼 and exists(select * from information_schema.tables)，能跑通就是MySQL；换成 and exists(select * from sysobjects)，那就是SQL Server。我遇到过用Access的政府老站，那玩意儿连注释符都跟别人不一样，只能用 -- 或者 /*，折腾了半天。

第四步，猜列数。用 order by N 逐次增加N，直到报错。比如 order by 5 正常，order by 6 报错，那查询结果就是5列。这步不能省，列数不清楚，后面的union就没法拼。有时候N加到几十才报错，说明表结构宽得很，那也没办法，只能慢慢试。

第五步，union注入拿数据。列数确定后，用 union select 1,2,3,4,5 找显示位——页面上哪个位置回显了数字，哪个就是可用的输出点。假设第2列和第4列有回显，那就把 2 换成 database()，把 4 换成 group_concat(table_name)，直接爆出当前库的所有表名。找表名是个细致活，优先看带 user、admin、member 字样的。我上次测一个电商站，表名叫 t_shop_user，差点看漏，结果里面躺着几十万条会员手机号和明文密码。

拿到表名后，爆字段名。 union select group_concat(column_name) from information_schema.columns where table_name='users'，这一步能列出表里的所有列。看到 username 和 password 就差不多了，直接 union select username,password from users 拖数据。密码如果是MD5，丢到彩虹表里撞一下，弱口令几秒钟就出明文。碰上加了盐的，那就得看运气了，不过很多老系统压根没这概念。

要是union被过滤了，别慌，还有盲注这条路。布尔盲注就一个字符一个字符地猜，ascii(substr((select password from users limit 0,1),1,1))>64，响应正常就继续加，不正常就减。时间盲注更磨人，每个字符都要sleep三秒来确认，一个32位MD5能测到手抽筋。但没办法，有些站点就吃这套。

最后一步，提权或者拿shell。这取决于你拿到的是什么权限。数据库跑在root下，MySQL还能用 into outfile 写webshell，前提是知道网站绝对路径。SQL Server就直接 xp_cmdshell，一条命令就能执行系统指令。不过现在云数据库大多降权了，能拖出数据就赶紧撤，别恋战。

说句实在话，现在纯手工注入的站点越来越少了，大部分都上了参数化查询。但总有那么些遗留系统，代码写于十年前，DBA和开发早换了三拨，没人在意那几句没过滤的SQL。你只要按着这几步走，大概率还能在某个角落捞到一条大鱼。

(责任编辑：时尚)