一、SQL注入基础：理解核心原理

1.1 SQL注入的本质与危害

SQL注入（SQL Injection）是一种通过构造恶意SQL语句，绕过应用程序验证机制，直接操作数据库的攻击方式。其核心在于利用应用程序对用户输入的过滤不足，将攻击代码拼接至SQL语句中执行。例如，某登录系统若直接拼接用户输入的账号密码至查询语句：

SELECT * FROM users WHERE username = '$input_username' AND password = '$input_password'

攻击者可通过输入admin' --作为用户名，使密码条件失效，直接以admin身份登录。此类攻击可能导致数据泄露、篡改甚至系统控制权丢失，据OWASP统计，SQL注入连续多年位列Web应用安全风险榜首。

1.2 常见注入类型与场景

• 基于错误的注入：通过触发数据库错误获取敏感信息，如' AND 1=CONVERT(int, (SELECT @@version))--可泄露数据库版本。
• 联合查询注入：利用UNION合并结果集，例如' UNION SELECT null, username, password FROM users--可提取其他表数据。
• 布尔盲注：通过页面响应差异判断条件真假，适用于无错误回显的场景。
• 时间盲注：利用数据库延迟函数（如MySQL的SLEEP()）推断信息，如' OR IF(1=1,SLEEP(5),0)--。
• 堆叠查询注入：在支持多语句执行的数据库中，通过分号分隔执行多条SQL，如'; DROP TABLE users;--。

二、SQL注入测评方法论

2.1 自动化工具与手动测试结合

• 工具选择：
  • SQLMap：开源自动化工具，支持多种数据库注入检测，命令示例：

    sqlmap -u "http://example.com/login" --data="user=admin&pass=test" --level=5 --risk=3

  • Burp Suite：通过拦截请求修改参数，结合Intruder模块进行批量测试。
• 手动测试步骤：
  1. 输入点识别：检查所有用户可控参数（GET/POST/Cookie/Header）。
  2. 单引号测试：输入'观察是否报错或行为异常。
  3. 逻辑推断：通过AND 1=1与AND 1=2对比页面响应。
  4. 数据提取：使用UNION SELECT或盲注技术获取数据。

2.2 实战案例：某电商系统测评

场景：商品搜索功能存在注入漏洞。

1. 探测阶段：输入'，系统返回数据库错误，确认存在注入点。
2. 信息收集：

   ' ORDER BY 10--  # 确定列数
   ' UNION SELECT null, database(), version(), user()--  # 获取数据库信息

3. 数据提取：

   ' UNION SELECT null, username, password FROM admin--  # 提取管理员凭证

4. 防御绕过：若系统过滤空格，可使用/**/替代（如SEL/**/ECT）。

三、防御策略与最佳实践

3.1 输入验证与过滤

• 白名单验证：严格限制输入格式（如仅允许字母数字）。
• 转义处理：使用参数化查询（Prepared Statement），示例（Java JDBC）：

  String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
  PreparedStatement stmt = connection.prepareStatement(sql);
  stmt.setString(1, username);
  stmt.setString(2, password);

• ORM框架：如Hibernate、MyBatis默认使用参数化查询，降低注入风险。

3.2 数据库层防护

• 最小权限原则：数据库账户仅授予必要权限（如仅SELECT而非DROP）。
• 存储过程：将业务逻辑封装至存储过程，限制直接SQL执行。
• Web应用防火墙（WAF）：部署ModSecurity等规则引擎拦截恶意请求。

3.3 安全开发与测试流程

• SDL（安全开发生命周期）：在需求、设计、编码、测试各阶段嵌入安全检查。
• 代码审计：定期审查SQL拼接代码，使用静态分析工具（如SonarQube）。
• 渗透测试：模拟攻击者视角，每年至少进行一次全面测评。

四、进阶技巧与注意事项

4.1 二次注入与宽字节注入

• 二次注入：攻击者输入被存储后，在后续操作中触发。例如注册时输入admin'--，后续修改密码功能可能执行恶意SQL。
• 宽字节注入：利用GBK等编码特性绕过转义，如%df' OR 1=1--在GBK下%df与'组合成汉字，使转义失效。

4.2 法律与合规要求

• 合规标准：遵循GDPR、PCI DSS等法规对数据保护的要求。
• 责任界定：未经授权的渗透测试可能违反《网络安全法》，需获得书面授权。

五、总结与行动建议

1. 立即行动：对所有Web应用进行SQL注入漏洞扫描，优先修复高危漏洞。
2. 长期规划：建立安全开发流程，将安全测试纳入CI/CD管道。
3. 持续学习：关注OWASP Top 10更新，定期参加安全培训。

通过系统化的测评与防御，可显著降低SQL注入风险。记住，安全不是一次性任务，而是持续迭代的过程。