在CTF比赛中，当高效的联合查询（UNION SELECT）被禁用时，你依然有几种强有力的替代方案。关键在于根据页面的不同响应方式，选择最合适的攻击路径。
下面这个表格汇总了这些替代方法的核心特点，帮助你快速建立整体认知。
攻击技术 | 核心思路 | 最佳适用场景 | 关键技术点/示例 |
|---|---|---|---|
报错注入 | 故意触发数据库错误，使错误信息中携带查询结果 | 页面显示详细的数据库错误信息 | 利用 |
布尔盲注 | 根据页面返回内容的差异（真/假）来逐位推断数据 | 页面内容随查询条件真假发生变化，但无直接数据回显 | 通过 |
时间盲注 | 根据页面响应时间的延迟来逐位推断数据 | 页面无论真假都无任何内容差异，是真正的“盲”注 | 利用 |
无列名注入 | 在不知道列名的情况下，通过别名和子查询直接查询数据 | 联合查询可用，但 | 使用 |
堆叠注入 | 一次性执行多条SQL语句，第二条语句构造恶意操作 | 数据库支持多语句查询（如PHP中的 | 在注入点后使用分号 |
💡 选择攻击路径的决策流程
判断是否有详细错误信息回显
检查方法：输入一个必然引发数据库语法错误的Payload（例如一个单引号
'）。决策路径：
如果页面返回了详细的数据库错误信息（例如，提到MySQL、PostgreSQL等以及具体的错误描述），那么报错注入通常是首选。这种方法效率最高，可以直接让数据库在报错信息中返回你需要的数据 。
如果页面返回统一的错误页面，或无任何特殊回显，则进入下一步判断。
判断页面内容是否随查询条件变化
检查方法：提交两个逻辑相反的条件，观察页面内容差异。例如，输入
and 1=1和and 1=2。决策路径：
如果页面内容（如文字、样式、返回长度）出现了可预测的差异（例如，
1=1时正常，1=2时内容消失），则可以使用布尔盲注。你通过构造真/假命题，根据页面差异一位一位地推断数据 。如果页面无论输入什么，返回的内容和长度都完全一样，没有任何差异，则进入最后一种情况。
启用时间盲注
适用场景：这是在前两种方法都无效时的“终极武器”。页面就像一个“黑洞”，无论对错都返回相同的响应，是真正的“盲”注 。
技术原理：通过注入可以引发响应延迟的条件语句（如
and if(1=1, sleep(2), 0)），根据页面返回的时间长短来判断条件真伪。例如，如果条件为真，则睡眠2秒，响应时间就会显著变长 。
💡 进阶技巧：无列名注入
在以上任何注入方法（报错、布尔、时间）生效后，你可能会遇到一个新的问题：系统表（如information_schema）被过滤，或者你不知道具体的列名。
这时，可以使用无列名注入技术 。其核心思路是：
通过子查询为数据表创建匿名别名，例如
(select 1,2,3 union select * from users) as t。随后，你可以通过列的序号位置（如
`2`）来引用特定列的数据，从而在不清楚列名的情况下完成数据提取。这是在传统方法受阻时的有效绕过方式。
💎 总结与实战要点
面对联合查询被禁用的场景，你的武器库依然十分丰富。核心在于仔细观察页面的响应方式，并据此选择最合适的注入技术。
报错注入效率最高，但需要错误信息回显。
两种盲注虽然速度慢，但适用性最广，尤其是在没有任何回显的“盲”注情况下，时间盲注是最后的武器。
无列名注入是应对列名未知的高级技巧。
堆叠注入则提供了更大的操作空间，但依赖数据库配置。
