SQL注入绕过本质是利用过滤器漏洞，常见方法包括大小写混合、编码绕过、注释干扰、字符串拆分、函数替换、双写关键字、参数污染、逻辑漏洞利用、特殊字符及时间盲注；防御措施以参数化查询为核心，辅以输入验证、最小权限、字符转义、WAF防护、安全审计和错误信息控制；高级绕过可借助数据库特性、存储过程、二次注入、宽字节注入、WAF规则分析及多漏洞结合；测试需通过手工或SQLMap、Burp Suite等工具，在授权前提下进行并确保数据安全。
SQL注入绕过过滤机制，本质上就是寻找过滤器的漏洞，然后利用这些漏洞执行恶意SQL代码。这就像一场猫鼠游戏，安全人员设置障碍，攻击者则想方设法绕过。
解决方案
绕过SQL注入过滤，核心在于理解常见的过滤规则和相应的绕过技巧。以下是一些常见的绕过方法：
-
大小写混合： 很多过滤器只针对小写或大写的SQL关键字进行过滤，因此可以使用大小写混合的方式绕过，例如
SeLect
代替SeLect
。 -
使用编码： 可以尝试使用URL编码、十六进制编码、Unicode编码等方式对SQL语句进行编码，例如
%20
代替空格，0x73656c656374
代替SeLect
。 -
利用注释： 在SQL语句中插入注释可以干扰过滤器的判断，例如
sel/*comment*/ect
。 -
拆分字符串： 将SQL关键字拆分成多个字符串，然后使用连接符连接起来，例如
sel' + 'ect'
。 -
使用函数： 某些函数可以替代SQL关键字的功能，例如
char()
函数可以将ASCII码转换为字符，从而绕过对字符的过滤。 -
双写绕过： 某些过滤器会删除匹配到的关键字，但如果双写关键字，删除一个后还会留下一个，例如
sselectelect
。 - HTTP参数污染： 利用HTTP参数污染，将恶意SQL代码注入到多个参数中，绕过对单个参数的过滤。
- 寻找逻辑漏洞： 有些应用程序在处理数据时存在逻辑漏洞，可以利用这些漏洞执行SQL注入攻击，例如，修改订单价格，或者更改用户权限。
- 使用生僻字或特殊符号： 有些过滤规则可能没有考虑到一些生僻字或特殊符号，可以尝试使用这些字符来绕过过滤。例如，使用全角字符代替半角字符。
- 时间盲注： 当无法直接获取SQL语句的执行结果时，可以使用时间盲注来判断条件是否成立。通过控制SQL语句的执行时间，来推断数据库中的信息。
如何有效防止SQL注入？
从开发角度来说，预防SQL注入需要多方面的考虑：
- 使用参数化查询或预编译语句： 这是防止SQL注入最有效的方法。参数化查询将SQL语句和参数分开处理，避免将用户输入直接拼接到SQL语句中。
- 输入验证： 对用户输入进行严格的验证，只允许输入符合预期格式的数据。例如，可以使用正则表达式来验证用户输入是否为数字、字母等。
- 最小权限原则： 数据库账户只授予必要的权限，避免使用高权限账户进行数据库操作。
- 转义特殊字符： 对用户输入中的特殊字符进行转义，例如单引号、双引号、反斜杠等。
- 使用Web应用防火墙（WAF）： WAF可以检测和阻止SQL注入攻击，提供额外的安全保护。
- 定期安全审计： 定期对代码进行安全审计，发现并修复潜在的SQL注入漏洞。
- 错误信息处理： 避免在生产环境中显示详细的错误信息，防止攻击者利用错误信息来推断数据库结构。
高级绕过技巧：当常规方法失效时怎么办？
当常规的绕过方法失效时，需要更深入地分析过滤规则和应用程序的逻辑。以下是一些高级的绕过技巧：
- 利用数据库特性： 不同的数据库管理系统（DBMS）有不同的特性，可以利用这些特性来绕过过滤。例如，MySQL中的反引号可以用来引用表名和列名，可以尝试使用反引号来绕过对关键字的过滤。
- 利用存储过程： 某些应用程序允许用户自定义存储过程，可以利用存储过程来执行任意SQL代码。
- 利用二次注入： 二次注入是指攻击者将恶意SQL代码注入到数据库中，然后在后续的操作中触发这些代码的执行。
- 利用宽字节注入： 宽字节注入是指当字符集为GBK时，可以使用宽字节字符来绕过对单引号的转义。
- 深入分析WAF规则： 了解WAF的规则，找到规则的漏洞，然后利用这些漏洞绕过WAF的防护。
- 结合其他漏洞： 将SQL注入漏洞与其他漏洞结合起来，例如XSS漏洞、CSRF漏洞等，可以扩大攻击面，提高攻击成功率。
如何测试SQL注入漏洞？使用哪些工具？
测试SQL注入漏洞需要使用专业的工具和方法。以下是一些常用的工具和方法：
- 手工测试： 手工测试是最基本的方法，通过构造不同的SQL注入语句，观察应用程序的反应，来判断是否存在SQL注入漏洞。
- SQLMap： SQLMap是一款强大的自动化SQL注入工具，可以自动检测和利用SQL注入漏洞。
- Burp Suite： Burp Suite是一款常用的Web应用程序安全测试工具，可以拦截和修改HTTP请求，方便进行SQL注入测试。
- OWASP ZAP： OWASP ZAP是一款免费的开源Web应用程序安全测试工具，可以自动扫描Web应用程序，发现潜在的SQL注入漏洞。
- Nessus： Nessus是一款商业漏洞扫描器，可以扫描Web应用程序，发现潜在的SQL注入漏洞。
在测试SQL注入漏洞时，需要注意以下几点：
- 获得授权： 在测试之前，需要获得应用程序所有者的授权，避免非法入侵。
- 保护数据： 在测试过程中，需要注意保护数据库中的数据，避免造成数据泄露或损坏。
- 记录结果： 在测试完成后，需要记录测试结果，并及时修复发现的漏洞。
