前言SQL注入已经是非常传统的漏洞了在WAF站均部署新建网站使用参数化查询的当下这个漏洞的挖掘难度也大幅提升。但为什么今天还是对这个漏洞进行讲解其一是因为部分建立较早的网站为了业务的持续性很少真正地对源码进行根本性修改从而避免该漏洞产生甚至发现有的网站居然还采用前端拼接SQL语句的离谱做法其二是随着技术的发展在不同领域上也出现了其他SQL注入的方法这极大扩展了该漏洞的攻击面。所以漏洞本身还是会存在的只是有时会受到诸如WAF的种种阻拦导致黑盒渗透时难以发现。基本原理SQL 注入为什么发生1.1 SQL 与 Web 应用回顾· 数据库、表、行、列、主键、外键。· 常见 SQLSELECT、INSERT、UPDATE、DELETE。· Web 请求生命周期浏览器/App → HTTP 请求 → 后端代码 → 数据库驱动 → SQL 解析器 → 执行 → 返回结果。关键点SQL 是代码用户输入本应是数据。1.2 核心漏洞数据被当成代码执行用伪代码说明sql “SELECT id, name FROM users WHERE username ” input “”正常输入只是字符串恶意输入可能改变 SQL 语法或逻辑。本质不是“引号问题”而是字符串拼接、模板拼接、动态 SQL、未参数化的查询构造1.3 信任边界与污染传播· 源HTTP 参数、JSON 字段、Cookie、Header、URL 路径、上传文件名、第三方 API、数据库中的二次数据。· 汇SQL 执行函数、ORM 原生查询、存储过程、动态表名/列名、排序字段。1.4 常见误区· “用了 ORM 就一定安全”错raw、whereRaw、orderBy 拼接仍危险。· “有 WAF 就安全”WAF 是缓解不是根治。· “API 不返回错误就安全”盲注、时间注入仍可能。· “内网系统不用防”横向移动、供应链、多租户越权风险更大。总结SQL 注入 用户输入进入 SQL 解释器并且没有被正确当作数据隔离。现代网站应用场景SQL 注入还在哪里2.1 传统 Web 与 CMS· 登录、注册、密码重置。· 搜索、分类、分页、排序。· 后台管理、插件、主题、模块。· 风险点老代码、字符串拼接、动态 SQL。2.2 REST API 与 JSON 接口· GET /users?sortidorderasc· POST /searchJSON 字段进入查询。· 批量查询、过滤、导出接口。· 风险点排序字段、表名、列名、LIKE 条件拼接。2.3 GraphQL 与微服务· GraphQL resolver 中直接拼接 SQL。· 微服务之间“内网信任”内部 API 不做参数化。· API 网关只做路由和限流不理解 SQL。· 风险点嵌套查询、批量解析、服务间数据聚合。2.4 ORM 与查询构建器· 安全用法参数绑定、预编译。· 危险用法whereRaw(“name ” input “”)、orderBy(input)· MyBatis ${} 与 #{} 的区别。· 动态表名、动态列名、动态排序方向无法简单参数化。2.5 认证、账户与多租户 SaaS· 登录、会话、权限查询、密码重置 token。· 多租户系统tenant_id 拼接导致跨租户读取。· 风险点越权 SQL 注入组合影响面更大。2.6 报表、BI、数据分析与导出· 自定义筛选、仪表盘、数据透视、Excel 导出。· 动态 SQL、存储过程、临时表。· 风险点为了灵活性牺牲参数化数据库账户权限过高。2.7 搜索、过滤、分页· 多条件组合查询。· ORDER BY、LIMIT、OFFSET、表名、列名。· 风险点这些位置常不能直接参数化需要白名单。2.8 后台管理、低代码与内部工具· 运营后台、数据导入导出、批量操作。· 低代码平台自定义查询。· 风险点内部工具常被忽视但权限高、数据敏感。2.9 云原生、Serverless 与移动后端· 函数计算连接云数据库。· 环境变量、连接池、数据库代理。· 移动 App、IoT、Webhook、第三方回调。· 风险点配置错误、权限过大、日志泄露。2.10 现代新风险NL2SQL 与 AI 生成 SQL· 自然语言转 SQL、AI 助手生成查询。· 若直接执行未沙箱、未校验的 SQL可能造成注入、越权、数据泄露。应用条件SQL 注入成立需要什么3.1 必要条件输入可控攻击者能影响某个输入源。输入到达 SQL输入进入查询语句、存储过程、动态 SQL。未正确隔离没有参数化、预编译、白名单、严格类型转换。SQL 被执行数据库连接有效语句被数据库解析执行。有反馈或侧信道回显、报错、布尔差异、时间延迟、带外通道。权限足够数据库账户能读、写、文件读写、命令执行等。3.2 增强条件· 数据库类型和版本已知MySQL、PostgreSQL、SQL Server、Oracle 特性不同。· 支持注释、多语句、子查询、堆叠查询。· 字符集、编码、转义规则存在差异。· WAF/过滤可被绕过或规则不全。· 错误信息暴露表名、列名、SQL 片段。· 数据库账户权限过高FILE、xp_cmdshell、COPY 等。· 网络可达能直连数据库或通过应用代理访问。· 二阶注入恶意数据先存储后续查询再触发。后记未来会根据这份大纲剖析漏洞帮助新手真正地去了解学习在讲解过程中也可能会适当地新增或删除板块确保内容的时效性也希望各位业内的老师傅能纠正文章的错误非商业用途仅供交流学习禁止转载