order by 注入（sort）

Sort注入是SQL注入的一种特殊形式，它专门针对SQL查询语句中的**ORDER BY**子句（在一些上下文中也可能被称为SORT BY）。当Web应用程序将用户输入的数据（例如，用于指定排序规则的参数）直接拼接到SQL查询的ORDER BY子句中，且没有经过充分的过滤或验证时，攻击者便可以构造特殊的输入来执行恶意的SQL代码。

特点：

特性	常规SQL注入 (常见于WHERE子句)	Sort注入 (发生在ORDER BY子句)
注入位置	WHERE子句后	ORDER BY子句后
UNION攻击	经常有效，可直接获取数据	通常无效
注入类型	联合查询、报错、布尔盲注、时间盲注等	主要依赖报错注入、布尔盲注、时间盲注
数据回显	成功时常有明确数据回显	结果通常只是排序顺序的变化
利用难度	相对直接	需要更多技巧和耐心

🔍 原理简述

一个存在漏洞的SQL查询语句可能原本是这样的：

SELECT * FROM products ORDER BY $_GET['sort_column'];

攻击者可以通过控制 sort_column 参数，不仅传递一个简单的列名（如 price 或 name），而是插入额外的SQL代码。由于 ORDER BY 后面不能直接使用 UNION SELECT 这样的语句，攻击者通常会采用一些更巧妙的方法，例如：

• 利用报错注入：故意构造会让数据库出错的语句，从而在错误信息中泄露数据。
• 利用盲注：通过观察页面返回结果的差异（布尔盲注）或响应时间的长短（时间盲注）来一步步推断数据。
• 利用rand()函数：通过构造如 ?sort=rand(ascii(left(database(),1))=115) 这样的参数，根据返回结果的不同来判断条件真假。
• 利用procedure analyse：这是一个可以用于报错注入的子句。
• 写入文件（如果权限允许）：通过 into outfile 将查询结果或Webshell写入服务器文件。

🛡️ 防御措施

1. 严格校验输入：对用户传入的排序字段值进行白名单验证，只允许预期的、预定义的值（如 “price”, “name”）。如果不是这些值，则使用默认排序规则。
2. 使用参数化查询（预编译语句）：虽然 ORDER BY 后面的字段名本身不能直接作为参数进行绑定（因为参数化查询通常用于值，而不是SQL关键字），但可以通过将用户输入映射到预定义的、安全的列名的方式来间接实现。
3. 最小权限原则：确保数据库用户只拥有必要的权限，**避免授予类似FILE**这样的权限，以防止攻击者利用into outfile写入文件。