SQL 注入高级攻击手册

要解决的具体问题

当注入点已经进入需要高阶判断的阶段，基础 UNION、报错注入和布尔盲注往往不够。目标可能是不同数据库语法、 WAF、参数化查询边界、带外通道、二阶触发点，甚至从 SQL 下沉到 OS。这个技能把这类问题整理成可执行的检索路径，而不是重复造 payload。

核心能力与关键步骤

• 先做首轮验证：若只确认了一个可疑 SQL sink，不要先堆专用 payload；先用这里的 first-pass payload families 完成基础验证。
• 按数据库和场景分流：覆盖 per-database exploitation、out-of-band exfiltration、second-order injection、parameterized query bypass、filter evasion、escalation to OS。
• 加载场景文件：需要 Windows MySQL LOAD_FILE + UNC 做 SMB OOB、DNS OOB、INSERT/DELETE/UPDATE 差异、ThinkPHP5 array key injection 的 updatexml 报错、Django GIS Oracle utl_inaddr.get_host_name CVE、ORDER BY/LIMIT 注入时，加载 SCENARIOS.md。
• 加载 SQLMap 进阶参考：需要 tamper 矩阵和 space2comment、between、charencode 等绕过链、--technique、--risk/--level、--second-url、--os-shell/--os-pwn、INSERT/UPDATE/DELETE 数据外带、GraphQL batched/nested/mutation 注入，或 PostgreSQL dollar-sign quoting、MSSQL linked servers、Oracle DBMS_PIPE/DBMS_SCHEDULER 时，加载 SQLMAP_ADVANCED.md。
• Java + Jackson 的 WAF 旁路：如果后端是 Java/Jackson 且 SQL 关键字被 WAF 拦截，可路由到 ghost-bits-cast-attack。Jackson 的 charToHex 按 ch & 0xFF 索引，丰（U+4E30）在 \uXXXX 转义中会解析出 hex digit 0，从而把 UNION、SELECT、1 等关键字拆成 \uXXXX 转义序列承载，绕过只做普通字符串匹配的 WAF。

适用边界与注意点

• 前提：已掌握 UNION、报错注入、布尔盲注基础；技能不做入门教学。
• 它是 playbook/路由手册，不能替代目标环境确认、授权测试和影响面评估。
• 不同数据库、框架、WAF、网络出网限制会显著改变可行性；SCENARIOS.md 与 SQLMAP_ADVANCED.md 是条件加载的扩展资料。
• 二阶注入、OS 提权和带外外带风险更高，应单独记录触发条件、回连通道和清理方式。