从入门到精通：SQL注入防御与攻防实战——红队如何突破，蓝队如何应对！

SQL注入（SQL Injection）是最古老且最常见的Web应用漏洞之一。尽管很多公司和组织都已经采取了WAF、防火墙、数据库隔离等防护措施，但SQL注入依然在许多情况下能够突破防线，成为攻击者渗透内网、窃取敏感信息的重要手段。

本篇文章将深入剖析SQL注入攻击的全过程，详细讲解红队是如何突破现有防线的，并且为蓝队提供实战防御策略。通过真实场景案例，从简单到深入，帮助你一步步理解并掌握SQL注入防御的核心技术。

SQL注入攻击是通过在Web应用程序的输入框（如登录框、搜索框、评论框等）中输入恶意SQL代码，使得程序拼接出的SQL语句执行攻击者指定的恶意操作，从而篡改、删除或窃取数据库中的信息。

假设有一个Web应用进行用户登录，后台的SQL语句是这样拼接的：

SELECT * FROM users WHERE username = '用户输入' AND password = '用户输入';

攻击者在用户名字段中输入：

admin' OR '1'='1

在密码字段中输入任意字符。SQL语句被拼接成：

SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = '任意字符';

由于'1'='1'总是为真，这个查询会返回所有用户的信息，攻击者成功绕过了登录验证，获取到敏感信息。

红队攻击者在面对蓝队的防御时，通常会采用多阶段攻击。他们不仅利用SQL注入的基础漏洞，还会尝试绕过一些常见的防护措施。

绕过WAF（Web应用防火墙）
- 编码绕过：攻击者可能使用URL编码、Unicode编码等技术，将恶意SQL注入代码进行编码，从而绕过WAF的检测。例如，将'字符编码为%27，或者用--替换为%2D%2D。
- 使用混淆的SQL注入语句：如使用不同的拼写变种、大小写混合的SQL关键字，使WAF无法识别到攻击特征。
绕过防火墙与IDS/IPS
- 端口封禁无效：如果防火墙封锁了数据库端口（如3306端口），攻击者可能通过已渗透的内网来进行攻击。这就是内网渗透，通过钓鱼邮件或凭证攻击进入内网，从而能够直接连接数据库。
- 权限提权：攻击者还可能通过利用系统漏洞进行权限提升，从而获取到管理员权限，控制数据库。

SQL注入的最直接防护手段就是使用预编译查询（Prepared Statements）。这种方法通过将SQL语句和用户输入的数据分离，使得用户输入的任何内容都无法被当作SQL代码执行。

假设我们有一个登录功能，需要根据用户名和密码进行查询。正确的做法是：

SELECT * FROM users WHERE username = ? AND password = ?;

在此SQL语句中，?是占位符，表示传入的参数。无论用户输入什么内容，它都将作为数据进行处理，而不是直接拼接到SQL语句中。这样就避免了注入攻击。

执行流程：

预编译查询的关键在于：它使得SQL命令和数据参数分离，无论输入的数据是什么，数据库都不会将它作为SQL代码执行。这就切断了攻击者通过注入恶意代码的路径。

即使使用了预编译查询，WAF（Web应用防火墙）和IDS/IPS系统也能作为补充防护措施，识别并拦截恶意请求。

WAF（Web应用防火墙）：它能够检测到SQL注入的常见特征，如关键字（UNION、SELECT、DROP等），并在请求到达应用服务器之前拦截攻击。
IDS/IPS（入侵检测系统/入侵防御系统）：能够实时监控和分析网络流量，发现异常模式，及时报警并进行拦截。

即便攻击者突破了应用层的防护，数据库的权限最小化与内外网隔离仍然是非常有效的防线。

数据库审计和日志分析可以帮助检测潜在的异常活动。通过定期查看数据库的操作记录，可以提前发现恶意活动并采取措施。

编码与混淆
- URL编码：将SQL关键字进行URL编码，绕过WAF的检测。
- 空格替代：使用/**/等符号绕过防火墙的检测规则。
利用错误信息
- 攻击者可以通过SQL错误信息泄露数据库信息（如表名、列名等），从而帮助他们构造更精确的注入攻击。
使用“盲注”技术
- 当WAF或防火墙拦截了常规注入时，攻击者可能使用盲注（Blind SQL Injection），通过布尔条件判断来慢慢摸索数据库的结构。