sqlilabs这个靶场，入靶我断断续续刷了三次。入靶第一次是入靶照着教程一步步点，第二次是入靶盲注卡了两周，第三次才真正摸到门道。入靶它就是入靶个印度老哥写的PHP靶场，界面土得掉渣，入靶但逻辑分层极其清晰。入靶从GET单引号报错到POST双引号变形，入靶每个关卡都像一层窗户纸，入靶捅破之前你永远不知道后面是入靶什么。

第一关就够新人喝一壶的入靶。输入?入靶id=1'，页面直接报错，入靶MySQL语法错误铺满屏幕。入靶这时候最蠢的做法是去背payload，聪明人应该盯着报错信息看三分钟。你会发现单引号被拼进SQL语句，闭合了WHERE id='1'的前半段，剩下一个多余的引号让数据库抓狂。这个观察比任何教程都值钱——所有注入的本质，都是让数据库执行你构造的代码片段。

刷到第23关的时候，我开始觉得不对劲。这关过滤了注释符--和#，老一套闭合思路全废了。琢磨半天才发现，可以用OR '1'='1硬凑成合法语句。这种解法教会我一件事：过滤规则永远在跟开发者玩猫鼠游戏，你没法预测所有黑名单，但能掌握数据库的语法边界。

最折磨人的是第46关的堆叠注入。之前所有关卡都只执行单条SELECT，这关突然允许分号后接第二条语句。我卡了整整一个周末，最后发现?id=1';UPDATE users SET password='hack' WHERE id=1-- -居然真的能改数据库。那一刻我后背发凉——如果真实站点存在这种漏洞，攻击者能做的远不止拖库，还能篡改任意数据。

说句得罪人的话，很多教程把sqlilabs当题库刷，纯粹为了面试背答案。但真正值得花时间的，是每个关卡报错页面里泄露的字段名、表名、数据库版本。比如第53关的union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()，这条语句跑通后，你会对information_schema这个系统库产生肌肉记忆。下次遇到真实站点，扫出注入点后第一反应就是查它。

刷完80关以后，我养成了个奇怪习惯：看到任何PHP网站都会下意识在URL末尾加个单引号。这个条件反射救过我一次，朋友接的渗透测试项目里，有个搜索框把参数直接拼进LIKE子句，连转义都没做。用靶场里学到的报错注入手法，五分钟拿到了管理员账号。

sqlilabs的好，在于它把SQL注入拆成了88种姿势。有些关卡看起来重复，比如同样是数字型注入，但一个用GET一个用POST，一个不回显一个半盲注。这种细微差别恰恰是实战中最致命的——很多漏洞就藏在开发者自以为安全的参数传递方式里。刷完这个靶场，你至少能建立一套自己的判断流程：先试单引号看报错，再试布尔盲注看页面差异，最后考虑时间盲注。这套肌肉记忆，比任何扫描器都可靠。

(责任编辑：百科)