⭐ Must Read: cuk/article/details/ - สรุปดราม่าล่าสุด

1. 项目概述：从“注入”到“掌控”的攻防博弈

在Web安全领域，SQL注入始终是悬在开发者头顶的达摩克利斯之剑。它不仅仅是简单的参数拼接漏洞，更是一场关于数据流控制权的攻防博弈。今天要聊的，是SQL注入中几个进阶且实战性极强的技术点：二次注入、堆叠查询，以及如何利用SQLMAP这一“瑞士军刀”配合自定义Tamper脚本，绕过复杂的防御机制，完成从漏洞发现到利用的完整链条。这不仅仅是工具的使用教程，更是对攻击者思维和防御者盲区的一次深度剖析。无论你是安全研究员、渗透测试工程师，还是希望加固自己应用的开发者，理解这些技术背后的原理和实现方式，都能让你在攻防两端都更加游刃有余。

简单来说，二次注入像是埋下一颗“定时炸弹”，攻击数据先被“无害”地存入数据库，在后续的某个查询中被引爆。堆叠查询则给了攻击者一次执行多条SQL语句的机会，威力巨大但限制也多。而SQLMAP的Tamper脚本，则是为这把利器开刃的磨刀石，通过修改请求载荷来欺骗WAF（Web应用防火墙）和过滤机制。指纹修改则是为了在探测阶段更好地隐藏自己，避免过早暴露。整个过程，从信息收集、漏洞探测、绕过防御到最终利用，环环相扣，充满了技术细节和实战技巧。

2. 核心攻击原理深度解析

2.1 二次注入：潜伏与引爆的艺术

二次注入之所以危险，在于它巧妙地利用了应用程序的逻辑信任。普通的注入是“即时生效”，输入恶意参数，立刻触发漏洞。而二次注入是“分两步走”。

第一步：存储阶段。 攻击者提交的数据（例如，在用户注册时输入的用户名 admin'-- ）会经过应用程序的初步处理。这个处理可能包括转义单引号，使其变成 admin\'-- ，然后被安全地存入数据库。此时，从数据库层面看，这个字符串被当作一个普通的文本值存储了下来，没有任何异常。应用程序可能觉得已经万事大吉，因为输入时的转义防止了即时的SQL注入。

第二步：触发阶段。 这是关键所在。当应用程序在另一个功能点（例如，修改用户信息、查询用户详情）中，从数据库取出这个先前存储的数据，并 未经再次转义或处理，直接拼接到新的SQL语句中 时，危险就发生了。例如，修改密码的SQL语句可能是：

UPDATE users SET password='[新密码]' WHERE username='[从数据库取出的用户名]';

如果取出的用户名是 admin'-- ，那么拼接后的语句就变成了：

UPDATE users SET password='newpass' WHERE username='admin'--';

这里的 -- 将后面的单引号注释掉了，这条语句的实际效果就变成了将用户 admin 的密码修改为 newpass 。攻击者成功实现了越权操作，而触发这个操作的，可能是另一个具有修改权限的普通用户，甚至是系统自身的某个流程。

注意： 二次注入的挖掘难点在于，你需要理解整个应用的数据流。仅仅在输入点测试转义是没用的，必须追踪数据从入库到再次被使用的完整路径。在代码审计时，要特别关注从数据库读取数据后，直接用于SQL拼接的地方。

2.2 堆叠查询：一把威力巨大但不易挥舞的双刃剑

堆叠查询，也叫堆叠注入，其核心是利用 ; 分隔符，在一次数据库调用中执行多条SQL语句。例如，一个查询点存在注入，原始语句是：

SELECT * FROM products WHERE id=[用户输入];

如果用户输入 1; DROP TABLE users -- ，最终执行的语句将是：

SELECT * FROM products WHERE id=1; DROP TABLE users --';

这无疑极具破坏力。但它的使用受到严格限制：

数据库驱动和接口支持 ：并非所有的编程语言数据库接口都支持执行多语句。例如，PHP的 mysqli_multi_query() 函数支持，而更常用的 mysqli_query() 或 PDO（默认情况下）默认是不支持的。Java的JDBC在连接字符串需要显式开启 allowMultiQueries=true 参数。这是堆叠注入能否成功的第一道门槛。
权限限制 ：即使可以执行多语句，攻击者执行的第二条、第三条语句也受到当前数据库连接用户权限的约束。如果应用使用的数据库用户只有 SELECT 权限，那么 DROP TABLE 、 UPDATE 等操作是无法成功的。
结果返回问题 ：堆叠注入时，通常只有第一条查询的结果会返回给应用程序界面。这意味着，即使你成功执行了 INSERT 或 UPDATE 语句，你在前端也可能看不到任何直接的回显，需要借助时间盲注或通过其他方式验证命令是否执行。

实战价值 ：尽管限制多，堆叠查询在特定场景下非常有用。例如，在无法进行联合查询（Union Select）的盲注场景，可以利用堆叠执行 SELECT ... INTO OUTFILE 进行文件写入（需要绝对路径和FILE权限），或者通过创建/修改存储过程、触发器来建立持久化后门。

2.3 SQLMAP Tamper脚本：绕过防御的“变形术”

WAF和应用程序的过滤规则就像一道道安检门。原始、粗糙的注入载荷很容易被识别和拦截。Tamper脚本的作用，就是在SQLMAP生成的标准攻击载荷离开“家门”之前，对它进行“化妆”和“变形”，使其能够骗过安检。

一个Tamper脚本本质上是一个Python函数，它接收SQLMAP的原始载荷（ payload ）和请求头等信息（ headers ），返回修改后的载荷。SQLMAP内置了数十个Tamper脚本，用于应对各种常见过滤。

编写自定义Tamper的核心思路：

识别过滤模式 ：首先需要手动测试，了解目标过滤了什么。是过滤了 空格 还是 union ？是把 select 替换成空，还是检测了特定的字符序列？常用方法包括：尝试大小写变换（ UnIoN ）、使用注释符分割关键字（ uni/**/on ）、使用URL编码（ %55nion ）、使用HTML实体编码（ union ）等。
设计绕过方案 ：根据过滤逻辑，设计变形规则。例如：
- 过滤空格 ：可以用 /**/ 、 %0a （换行符）、 %0d （回车符）、 %09 （制表符）、 + 等代替。
- 过滤关键字 ：可以使用双写绕过（ selselectect ，假设过滤逻辑是删除一次 select ）、内联注释（ /*!50000select*/ ，MySQL特定语法）、等价函数或语句替换。
- 过滤引号 ：尝试使用十六进制编码字符串，或者利用数据库函数（如MySQL的 CHAR() ）构造字符串。
实现Tamper函数 ：下面是一个简单的示例，用于绕过简单的 union select