sql漏洞检测

去年帮一个做电商的洞检朋友看服务器日志，发现有条请求长这样：/product.php?洞检id=1%20AND%201=1。他当时还纳闷，洞检说这页面返回的洞检内容跟正常访问一模一样，怎么就被盯上了。洞检问题就出在这——正常，洞检恰恰是洞检最大的不正常。

SQL注入这东西，洞检原理不复杂。洞检开发者写了一句 SELECT * FROM products WHERE id = $id，洞检本意是洞检让用户传个数字进来。但用户偏不。洞检他传 1 AND 1=1，洞检数据库照单全收，洞检把后半句当成了SQL逻辑的洞检一部分。于是条件恒真，整张表的数据都可能被拖走。更狠的是传 1; DROP TABLE products--，分号一断，后面直接删表。数据库不会分辨哪部分是“用户输入”，哪部分是“代码”，它只认语法。

手工检测：先学会用眼睛找裂缝

我习惯从URL参数入手。拿 id=1 做基准，改成 id=1'，页面如果报数据库语法错误，比如 You have an error in your SQL syntax，基本就中奖了。没报错也别急着走，换成 id=1 AND 1=2，看返回内容是否跟 id=1 有差异。差异明显，说明注入点存在。这招在MySQL+PHP的老系统上命中率极高，我试过十来个站，至少三四个能测出来。

盲注更磨人。页面不报错、不回显数据，只能靠布尔条件或时间延迟猜。比如 id=1 AND SLEEP(5)，如果请求卡了五秒才返回，说明SLEEP执行了。这时候就得写脚本，一个字符一个字符地跑数据库名、表名、字段名。手工做一次完整盲注，没个把小时下不来。

工具能提速，但别当拐杖

sqlmap是绕不开的。一条 sqlmap -u "http://target.com/product.php?id=1" --dbs，它自己判断注入类型、选payload、跑字典。我用它测过一个存在二次注入的CMS，手工测了半小时没进展，sqlmap跑 --level=5 --risk=3，十二分钟出了库名。但工具不是万能的。有次遇到WAF拦截，sqlmap的默认payload全被拦，换成 --tamper=space2comment 才绕过去。工具给的便利，前提是你知道它在干什么。

防御：参数化查询不是可选项

见过太多代码用字符串拼接写SQL。PHP里 $sql = "SELECT * FROM users WHERE name = '$name'"，这种写法只要 $name 来自用户输入，就是敞着门。换成PDO预处理：$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ?"); $stmt->execute([$name]);，参数和语句分离，注入就无从下手。Java的PreparedStatement、Python的cursor.execute带参数，逻辑一样。别信什么“我过滤了单引号”——宽字节注入、编码绕过，手段多的是。参数化查询是根治，转义和过滤只是创可贴。

还有个坑：有些老系统用ORM，但底层还是拼SQL。我见过一个项目，Hibernate的HQL里直接塞了用户输入，照样注入。ORM不是免死金牌，关键看最终生成的SQL长什么样。打开日志，把执行的语句打出来看一眼，比什么都实在。

检测SQL漏洞，本质是跟开发者的偷懒较劲。一个参数没处理好，整台数据库就悬了。手工测、工具扫、代码审，三条路都得走。别指望一个sqlmap扫完就收工，也别觉得用了预处理就万事大吉。去年那个电商朋友，后来把全部查询改成了参数化，日志里再没出现过 AND 1=1 这种请求。但我知道，只要还有人写 "WHERE id = $id"，这漏洞就永远不会消失。