判断是否存在sql注入漏洞

判断是判断否存在SQL注入漏洞，最直接的否存办法不是看代码，而是入漏往输入框里扔一个单引号。

我见过太多新手卡在这一步——他们盯着参数半天，判断犹豫不决，否存怕把数据库搞坏。入漏其实你扔个单引号过去，判断如果页面报错，否存或者返回结果变得诡异，入漏那基本就八九不离十了。判断比如某次测试一个登录框，否存我输入 admin'，入漏结果页面直接吐出一段带SQL语法的判断报错信息，连表名都露出来了。否存那一刻不用再怀疑，入漏注入点就在眼前。

但单引号只是敲门砖。真正要确认漏洞存在，你得看两条路：报错型和盲注型。报错型简单，数据库把错误信息原样返回，你甚至能靠报错内容直接拼出查询结构。盲注就麻烦点，页面不报错，但你能通过条件真假观察到响应差异——比如 and 1=1 正常返回，and 1=2 返回空页面，这就是典型的布尔盲注信号。还有时间盲注，输入 sleep(5) 后页面卡了五秒才加载完，那也跑不掉。

别急着高兴，有个坑你得注意。有些程序员会在代码里拼接参数但用了参数化查询，这时你扔单引号可能也会报错——但那是语法错误，不是注入漏洞。怎么区分？看报错内容。如果报错信息里包含你输入的单引号位置，且能通过调整语句改变查询逻辑，那才是注入。如果报错只是“无效的输入格式”，那多半是代码做了类型校验，你撞上了防呆逻辑。

再教个土办法，用逻辑运算测试。比如一个数字型参数，你输入 1 返回正常，输入 2 返回另一条数据，输入 1 and 1=2 时页面空掉，那就说明参数没被过滤，直接拼进了SQL。反过来，如果输入 1 and 1=2 依然返回第一条数据，可能参数被当成字符串处理了，或者有转义函数挡着。这时候别灰心，试试编码绕过，%27 或者宽字节 %bf%27，有些老系统就是栽在这上面。

最隐蔽的是POST型注入，藏在表单提交里。你光看URL没用，得抓包看请求体。我见过有人对着GET参数测半天没结果，换到POST的搜索框里，一测一个准。工具也有讲究，sqlmap固然快，但有时候它跑不出盲注，反而手工判断更快。别迷信工具，理解原理才是根本。

最后说个实在的观察：很多注入漏洞根本不在于过滤不严，而在于开发把用户输入直接拼进SQL，连类型转换都没做。你测的时候别光想着复杂payload，先试试最原始的 ' or '1'='1，如果登录框直接放行，那这漏洞比你想的还好挖。但记住，判断出存在漏洞只是第一步，真正要证明可利用性，至少得拿出数据泄露或者绕过认证的证据，否则只能算疑似。