一个登录框，网站背后可能藏着一整条数据库。注入你输入用户名和密码，教程服务器就去查表。网站如果它没把输入当数据，注入而是教程当代码执行，那你的网站键盘就成了撬开数据库的杠杆。

SQL注入的注入原理就这么简单。老派网站喜欢拼字符串：SELECT * FROM users WHERE name='$name'。教程你传个' OR '1'='1进去，网站引号闭合了，注入条件恒真，教程登录就穿了。网站我见过最蠢的注入案例是某后台把密码直接拼进去，结果你输入' OR 1=1 --，教程登录框直接变成数据导出器。

别急着兴奋，防护不是铜墙铁壁。参数化查询是标配，但总有人偷懒。比如把整数类型忘了转义，id=1 AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT((SELECT user()),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)——这种报错注入能把数据库用户名、版本全炸出来。你看着报错信息里多出来的字段，就知道对方没关错误显示。

手工测注入点有个笨办法：单引号。输入'，页面报错，说明输入进了SQL；没报错，可能是被过滤了，也可能人家根本没用数据库。再用1 AND 1=2和1 AND 1=1对比——前者页面空白，后者正常，基本就实锤了。别依赖自动化工具，手测能帮你理解每个参数背后的查询逻辑。

过滤是个伪命题。黑名单拦select、union，你就用/**/注释符隔开，或者用十六进制编码。拦了空格，用%0a换行符代替。有一次我遇到个过滤逗号的，直接改成LIMIT 1 OFFSET 0绕过——那家伙把substr函数都拦了，却没拦offset。防御方永远在补洞，攻击方永远在找新缝。

真正难啃的是盲注。页面不显示任何报错，只有“查询成功”和“查询失败”两种状态。这时候得靠条件判断：IF(ASCII(SUBSTRING(user(),1,1))>100,1,0)。你发一百次请求，根据页面差异一位位猜字符。慢，但有效。我见过有人用二分法优化，把请求次数从三百次压到八十次。时间盲注更阴，用SLEEP(5)判断条件真假，但容易把数据库连接池拖垮，动静太大。

写这篇不是教你当黑客。多数漏洞网站活不过三个月，你费劲拖出来的库可能只有几百条测试数据。真正值钱的，是理解这种“输入与代码混淆”的思维模式——它同样适用于命令注入、模板注入、甚至你写代码时对用户输入的每一分警惕。下次看到登录框，先想想：它背后是参数化查询，还是字符串拼接？

(责任编辑：热点)