SQL注入是指攻击者通过在应用输入的参数中插入恶意SQL语句片段，欺骗后端数据库服务器执行非预期SQL操作的安全漏洞。当应用未对用户输入做严格过滤时，攻击者不仅能窃取、篡改数据，还可能借助数据库的扩展功能执行系统层面的恶意代码，进一步扩大攻击影响范围。
SQL注入执行恶意代码的原理与场景
执行原理
多数数据库为了提升扩展性，会提供执行系统命令的扩展功能，比如MySQL的sys_exec函数、SQL Server的xp_cmdshell存储过程。当应用存在SQL注入漏洞时，攻击者可以拼接SQL语句调用这些扩展功能，将数据库权限作为跳板执行系统命令，最终实现恶意代码运行的目的。
常见利用场景
- 登录场景：应用在验证账号密码时直接拼接用户输入，攻击者构造万能密码绕过验证同时触发恶意代码执行
- 搜索场景：搜索接口未过滤输入，攻击者拼接恶意SQL片段调用数据库系统命令执行功能
- 数据提交场景：表单提交的数据直接拼入INSERT、UPDATE语句，攻击者插入恶意SQL逻辑
SQL注入执行恶意代码的示例
以存在漏洞的PHP登录接口为例，后端未对用户输入的用户名做过滤，直接拼接SQL语句查询数据库：
<?php
$conn = new mysqli("localhost", "root", "password", "test_db");
$username = $_POST['username'];
$password = $_POST['password'];
// 直接拼接用户输入，存在SQL注入漏洞
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $conn->query($sql);
?>
攻击者可以在用户名字段输入以下内容，触发MySQL的sys_exec函数执行系统命令：
admin' UNION SELECT 1,sys_exec('touch /tmp/malicious_file'),3 --
如果当前数据库用户有调用sys_exec的权限，就会在系统/tmp目录下创建恶意文件，若替换为其他恶意命令，即可执行对应恶意代码。
SQL注入防御措施实践
代码层防御
最核心的防御方式是使用参数化查询（预编译语句），将SQL逻辑与用户输入数据分离，数据库不会对用户输入的内容做SQL语法解析，从根源上避免注入：
<?php
$conn = new mysqli("localhost", "root", "password", "test_db");
$username = $_POST['username'];
$password = $_POST['password'];
// 使用预编译语句，参数用?占位
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();
?>
如果无法使用预编译，需要对用户输入做严格过滤，禁止出现单引号、分号、注释符等SQL特殊字符，同时限制输入长度和格式，比如用户名只允许字母数字组合。
数据库层配置
- 遵循最小权限原则，给应用连接数据库的用户只分配必要的查询、插入等权限，禁止授予执行系统命令、修改数据库配置的权限
- 关闭数据库不必要的扩展功能，比如SQL Server默认禁用
xp_cmdshell，MySQL移除sys_exec等危险函数的权限 - 定期更新数据库版本，修复已知的安全漏洞
架构层防护
- 在应用前端部署Web应用防火墙（WAF），配置SQL注入检测规则，拦截常见的恶意注入请求
- 对用户输入做多重校验，前端做格式校验，后端做逻辑校验和过滤，避免单层校验被绕过
- 敏感数据做加密存储，即使发生注入，攻击者也无法直接获取明文数据
防御效果验证
部署防御措施后，可以使用SQL注入测试工具或者手动构造恶意输入验证防护效果：
测试输入用户名：admin' OR 1=1 --
预期结果：无法绕过登录验证，数据库不会执行拼接的恶意SQL
测试输入用户名：admin' UNION SELECT sys_exec('id'),2 --
预期结果：请求被WAF拦截或者数据库返回权限错误，恶意命令不会执行
通过多维度防御措施的落地，可以有效阻断SQL注入漏洞，避免攻击者利用该漏洞执行恶意代码，保障应用和数据的安全。