SQL 注入原理

sql 注入的原因是应用程序对用户输入的数据没有进行合法判断，并且直接将数据传给数据库进行查询。

流程如下：

基于查询注入

如果应用程序会直接返回查询的结果，那么我们将可以使用基于查询的注入方法。

联合查询法：

【 P 】：「用户输入」数据 P = -1' union select @@version -- ^[1]
【 Q = X + P 】：「应用程序」拼接数据 Q = SELECT sc FROM score WHERE id='-1' union select @@datadir -- '^[2]
【 Q --> R 】：「数据库」将 Q 作为 SQL 语句执行，返回结果 R = /var/sql/233.db
【 R 】：「应用程序」接收数据 R，将 R 返回给用户

应用程序不返回查询结果，反而返回 sql 数据库的报错信息。其流程如下：

【 P 】：「用户输入」：P = ' and updatexml(1,concat(1,database()),1)#
【 Q = X + P 】：「应用程序」：Q = SELECT sc FROM score WHERE id='' and updatexml(1,concat(1,database()),1)#'^[3]
【 Q --> R 】：「数据库」：Q --> R = updatexml 执行错误的信息，其中带有 concat(1,database()) 的执行结果。
【 R 】：「应用程序」：将 R 返回给用户

应用程序不会返回查询结果，而是会返回一个状态。比如：

其中前两个只有两种状态的信息被称为布尔值。流程如下：

【 P 】：「用户输入」：P = 1' and length((select @@version)) > 0 #^[4]
【 Q = X + P 】：「应用程序」：Q = SELECT sc FROM score WHERE id='1' and length((select @@version)) > 0 #'
【 Q --> R 】：「数据库」：Q --> R =「真」或「假」
【 R 】：「应用程序」：将 R 返回给用户

应用程序仅返回一种状态，意为当前查询结束。但是没有返回任何数据或者其他状态。流程如下：

【 C 】：「计时程序」用户开始计时 C
【 P 】：「用户输入」P = 1' and length((select @@version))>0 and sleep(5) #
【 Q = X + P 】：「应用程序」Q = SELECT sc FROM score WHERE id='1' and length(version()) and sleep(5) > 0 #'
【 Q --> R 】：「数据库」Q --> R =「sleep(5)，并返回数据」或「不执行，返回数据」
【 R 】：「应用程序」将 R 返回给用户
【 C 】：「计时程序」结束计时 C

可以看出，时间注入与布尔注入本质相同。只是前者返回的是「无延迟，查询结束」与「延迟 5 秒，查询结束」这两种特殊的状态。

之前的注入都是一次输入，一次输出式的。而二次注入，则是两次输入，两次输出。

用一个 web 应用程序举例，假设它的业务逻辑为：

从业务看出，第二查询的过程中，应用程序在拼接数据 P 时没有对 P 进行转义。这意味着我们可以在第一次查询时，将注入语句 P 保存进数据库，在第二次查询执行含有 P 的语句。来成功注入。