sql注入测试

凌晨两点，入测我盯着屏幕上那个报错的入测登录框，后背发凉。入测输入框里只填了一个单引号，入测系统却把整张用户表的入测字段名全吐了出来——这比直接拿到密码还可怕。SQL注入就这么简单，入测简单到像在门锁上捅了根铁丝，入测门就开了。入测

别把SQL注入想得多高深。入测它本质上是入测把SQL代码塞进用户输入的位置，骗过数据库执行。入测比如登录框里输入' OR '1'='1，入测查询语句就变成了SELECT * FROM users WHERE username='' OR '1'='1' AND password='...'。入测恒真条件一成立，入测你就能以任意身份登录。入测我见过最蠢的案例，是某后台管理系统的密码框直接拼SQL，攻击者输入'; DROP TABLE users; --，整张表瞬间没了。

测试SQL注入，第一步不是拿工具乱扫，而是找输入点。URL参数、表单字段、Cookie、甚至HTTP头里的User-Agent都可能成为突破口。我习惯先手动试几个特殊字符：单引号、双引号、反斜杠。看页面反应——报错信息里有没有SQL语法痕迹？返回内容是不是和正常请求不同？这些细节比任何扫描器都靠谱。

有一次测试某电商网站的搜索功能，我输入1' AND SLEEP(5)--，页面卡了整整五秒才加载出来。时间延迟就是最明显的信号——数据库执行了我的sleep函数，说明参数没过滤。那时候我甚至不用看报错，直接确认注入点存在。但要注意，时间注入在测试时要控制频率，别把人家数据库搞宕机了，那就过火了。

判断注入类型是下一步。数字型、字符型、搜索型，每种处理方式不同。数字型直接拼在where后面，字符型得先闭合引号，搜索型可能用了LIKE模糊匹配。拿AND 1=1和AND 1=2对比，返回页面差异明显的话，基本就能确认布尔盲注了。我见过新手一上来就上sqlmap，结果扫了半天没反应，其实是参数被WAF拦了，手动改个大小写或加注释符就绕过去了。

自动化工具省事，但不能盲信。sqlmap能检测绝大多数注入点，但碰上复杂逻辑、二次注入或者存储型注入，它就傻眼了。比如某论坛的签名档功能，存进去的时候没过滤，等管理员后台查看时才触发注入——这种场景工具扫不出来，得靠人工分析业务逻辑。我吃过这个亏，那次花了三个小时才定位到问题，最后发现是用户头像的图片路径参数没做转义。

测试完必须清理痕迹。别把测试数据留在生产库，别把sleep时间设太长，更别真去DROP表。合法测试的底线是验证漏洞存在即可，至于深度利用——那是渗透测试工程师拿授权做的事。我见过有人测试完忘了删测试账号，结果被甲方运维发现，差点闹出法律纠纷。

写代码的人总觉得SQL注入是上古时期的漏洞，早该绝迹了。但现实是，去年CNVD披露的漏洞里，SQL注入仍然排在前五。很多新框架确实做了参数化查询，但总有开发者图省事直接拼字符串，或者用了不安全的存储过程。你永远叫不醒一个硬编码SQL的人，就像你没法让一个用eval的PHP程序员理解什么叫做输入验证。

测试SQL注入，说白了就是跟开发者玩心理战。你猜他哪里会疏忽，他猜你会从哪里进来。每次成功注入，都是对一行代码的重新审视——原来信任边界这么容易被打破。这种博弈挺上瘾的，但记住，永远在授权范围内玩。没授权的测试叫攻击，有授权的才叫测试。