SQL 注入专家攻击手册

要解决的问题

在复杂 Web 应用中，SQL 注入往往不只是“跑个 UNION”那么简单：数据库类型不同导致语法差异巨大，WAF 对关键字的拦截让常规 payload 失效，注入点藏在 INSERT/UPDATE 语句或非参数入口，甚至需要跨带外通道外泄数据。这些场景下，传统基础技巧难以奏效，需要更精细的分类攻击思路。

技能如何工作

• 分库利用：针对 MySQL、PostgreSQL、MSSQL、Oracle 等不同数据库，梳理各自的高级函数与语法差异（如 PostgreSQL 的美元符号引号、MSSQL 的链接服务器），适配不同环境的注入逻辑。
• 带外外泄：通过 LOAD_FILE + UNC 路径（Windows MySQL）触发 SMB 请求，或利用 DNS 解析将数据编码到域名中，突破无法直接回显的盲注场景。
• 二阶注入与参数化绕过：针对存储过程中的二次注入、参数化查询被动态拼接绕过的场景，设计特定注入点（如 INSERT/UPDATE 语句中的键值注入、URI 注入）的利用方式。
• 过滤规避与提权：结合 SQLMap 的 tamper 脚本（如 space2comment、between、charencode）绕过 WAF，利用 --os-shell/--os-pwn 实现从 SQL 注入到操作系统命令执行的跃迁。

适用边界与注意点

• 需已掌握 UNION、错误注入、布尔盲注等基础 SQLi 原理，本技能聚焦高级进阶内容。
• 部分真实案例（如 ThinkPHP5 数组键注入、Django GIS Oracle CVE）依赖配套的 SCENARIOS.md，需结合具体场景加载。
• 仅用于授权范围内的安全测试，滥用可能导致合规风险。