一个登录框，入攻两个输入框，击教一个按钮。入攻这是击教sql注入最经典的战场。你输入`admin' or 入攻'1'='1`，密码随便敲个`x`，击教如果运气好，入攻直接登进后台。击教原理简单得像一层窗户纸：开发者把用户输入直接拼进了sql语句，入攻于是击教你的输入成了代码的一部分。

我见过太多新手对着这个payload发懵。入攻别急，击教拆开看。入攻假设后台查询是击教`SELECT * FROM users WHERE username='$name' AND password='$pass'`。你提交的入攻用户名变成`admin' or '1'='1`，整个语句就成了`SELECT * FROM users WHERE username='admin' or '1'='1' AND password='x'`。注意，`or`的优先级低于`and`，但`'1'='1'`恒真，所以整个where条件成了`true and false`——等等，不对，实际上因为`or`连接，只要`username='admin'`为真或者`'1'='1'`为真，整句就为真。而`'1'='1'`永远是真的，所以密码那部分直接被短路了。

这只是入门中的入门。真正麻烦的是盲注。页面不报错，不回显数据，你像在摸黑走路。这时候你得靠布尔逻辑一点点猜。比如输入`admin' and (select ascii(substr(database(),1,1)))>100 -- -`，看页面反应。返回正常，说明数据库名第一个字符的ascii码大于100，继续二分，直到猜出整个库名。这个过程枯燥得像数蚂蚁，但一旦打通，你会觉得整个数据库都摊在你面前。

别急着高兴。现实中的站点几乎都有参数化查询，直接拼接的漏洞越来越少。但sql注入远没死绝，它藏在各种意想不到的角落。搜索框、排序字段、甚至http头里的user-agent都可能成为注入点。有个经典的案例是某网站把`order by`后面的字段名直接拼接，攻击者用`if(now()=sysdate(),sleep(5),0)`这种时间盲注，让数据库睡五秒，通过响应时间判断条件真假。你说开发者冤不冤？就为了少写两行参数化代码，整站数据被拖走。

我自己的教训更惨。几年前测一个内部系统，发现登录框有注入，但过滤了空格和注释符。折腾半天，最后用`admin'%0aor%0a'1'='1`绕过去了。换行符代替空格，过滤器直接懵了。那瞬间我意识到，过滤黑名单永远防不住想象力。

防护其实不复杂。参数化查询是底线，存储过程也行，但别自己拼字符串再调用。其次，给数据库账号最小权限，别用root连业务库。就算注入成功，攻击者也只能在权限范围内折腾。还有，把错误信息藏好，别让数据库报错直接怼到用户脸上。这些做到位，大部分脚本小子就得换目标。

说到底，sql注入是门手艺活，考验的是对数据库语法和业务逻辑的理解深度。攻击者得猜开发者怎么写sql，开发者得猜攻击者怎么猜。这博弈里没有常胜将军，只有谁想得更深一层。你要是真想学，别光看教程，搭个靶场自己练。拿sqlmap跑自动化当然快，但手动注入一次，你对数据流的理解会完全不同。那种把一个字符一个字符从数据库里抠出来的感觉，比任何payload都让人上瘾。