Web渗透测试SQL注入课程报告

凌晨两点，渗试我盯着Burp Suite里那条红色的透测报错，后背有点发凉。注入一个看似普通的课程登录框，参数id=1，报告加个单引号就炸出了完整的渗试SQL语法错误——这是我在课程实验里第一次真正“打穿”一个模拟站点。那一刻我明白了，透测SQL注入不是注入书本上的抽象概念，它就是课程你随手写错一行代码就可能留下的后门。

课程从最基础的报告原理讲起。老师没废话，渗试直接扔了个存在漏洞的透测PHP页面，让我们用sqlmap跑。注入但真正让我开窍的课程，是报告手动构造payload的过程。先试`' or 1=1--`，页面正常返回；再试`' and 1=2--`，页面空白。这两个对比结果一出来，注入点确认无疑。那种感觉就像突然看懂了魔术师的把戏——原来所谓“万能密码”，就是利用后台查询逻辑的漏洞，让条件判断永远为真。

联合查询注入是重头戏。当我们用`order by`逐列探测字段数量时，我犯了个低级错误：直接猜了10列，结果报错。后来才学会用二分法，先试5，再试3，两三次就能定位。这个过程特别像开锁，你不能硬撬，得顺着锁芯的构造一点点试探。得到字段数后，用`union select 1,2,3`找出回显位置，再把数字替换成`database()`、`version()`，信息就像挤牙膏一样从数据库里漏出来。

盲注部分差点把我劝退。基于布尔的盲注，每次请求只能得到一个“真”或“假”的响应，要猜一个数据库名得发上百个请求。我手动试了十分钟就烦躁了，后来写了个简单的Python脚本循环跑。当脚本最终拼出“security”这个库名时，成就感比游戏通关还强。但这也让我警惕：真实场景里，攻击者完全可以写自动化工具慢慢磨，所以代码里任何一点过滤疏忽都是致命的。

堆叠注入和宽字节注入是课程里的进阶玩法。宽字节那个案例特别有意思——开发者用`addslashes()`转义单引号，以为万事大吉，结果因为数据库用了GBK编码，攻击者在引号前加个`%df`，转义符就被“吃掉”了。这个案例让我意识到，安全防护不是堆砌函数就完事，你得理解编码、理解数据库内部处理逻辑，否则全是自欺欺人。

课程后半段讲防御，但老师特意强调：别指望参数化查询解决一切。存储过程里的动态SQL、ORDER BY子句后的字段名，这些地方照样可能出问题。最实在的建议是输入验证加最小权限原则——数据库账号别用root，给个只读权限都算仁慈。我用课程提供的漏洞靶场反复测试，发现即使做了过滤，只要没考虑全字符集和编码组合，总有绕过的空间。这行当，攻防双方拼的就是谁想得更深。

结课测试是模拟真实站点，时限四小时。我卡在最后一个注入点上两个多小时，最后发现是过滤了空格，用`/**/`注释符替代才绕过去。那一刻我满头大汗，但心里特别痛快——这种跟系统较劲的体验，比任何标准答案都来得扎实。现在回头看，SQL注入的核心就一句话：凡是把用户输入拼进SQL语句的地方，都可能翻车。而我的收获，不只是会跑几个工具，而是养成了“看见输入框就下意识琢磨它背后怎么查询”的职业病。

(责任编辑：综合)