我的博客

SQL 注入与 WAF 绕过：从规则失配到纵深防御

Sun, 27 Sep 2026 11:40:00 +0800

SQL 注入长期位居 Web 安全风险的核心位置，并不是因为它“古老”，而是因为它直接触碰了应用安全中最根本的一条边界：数据与代码必须分离。

当用户输入被拼接进 SQL 语句时，输入不再只是数据，而有机会改变语句结构。安全产品、输入过滤和 WAF 可以增加攻击成本，但它们不能替代安全的数据访问方式。本文讨论 SQL 注入的主要类型、WAF 绕过的本质、常见检测误区，以及更可靠的工程化防御方案。

本文用于安全开发和防御体系建设。涉及真实系统的测试必须在明确授权、可恢复和可追踪的前提下进行。文章不提供针对真实目标的攻击步骤或可直接复用的绕过 payload。

一、SQL 注入的本质

应用程序通常会根据用户输入构造数据库查询。例如，概念上可能出现这样的逻辑：

查询用户名为输入值的管理员记录

如果输入始终被当作“用户名”这个数据值处理，那么无论用户输入什么内容，它都不应该改变查询结构。但如果应用采用字符串拼接，输入的语义就可能从“值”变成“语法”。

SQL 注入成立通常同时需要三个条件：

用户输入进入 SQL 语句。
输入能够影响 SQL 的语法结构。
应用或数据库会把执行结果、错误、状态或时间差异暴露给攻击者。

第三个条件经常被忽略。没有可观测差异，攻击者通常难以持续判断自己的假设是否正确。因此，防御不只是阻止某个字符，而是同时收紧语法边界、数据库权限、错误输出和日志可见性。

二、常见 SQL 注入类型

SQL 注入可以有多种分类方式。按照攻击者如何观察结果，通常可以分为以下几类。

1. 联合查询型注入

部分数据库支持 UNION，它可以把两条查询结果合并到同一结果集中。

联合查询型注入成立的前提通常包括：

原查询结果能够返回给客户端。
攻击者能够推断原查询的列数和兼容的数据类型。
数据库用户的权限允许读取目标数据。

UNION 并不会让数据库“忽略权限”。如果数据库账号只能读取一张业务表，即便语句结构被改变，也不可能越过数据库本身的权限边界。

因此，防御不能只关注 UNION 这个关键词，还要确保：

应用数据库账号使用最小权限。
敏感表与业务读取账号隔离。
查询接口不暴露不必要的字段。
查询结果在服务端完成权限判断，而不是依赖客户端过滤。

2. 报错型注入

报错型注入依赖应用把数据库错误原样返回给客户端，或者错误信息中包含可观察的表达式结果。

攻击者真正利用的不是“报错”本身，而是：

错误内容具有差异性。
错误内容可以被稳定复现。
错误内容与攻击者提交的数据存在对应关系。

从工程角度看，生产环境应做到：

对用户只返回统一错误码和追踪 ID。
将详细数据库错误写入受控日志。
日志中避免记录密码、令牌和完整敏感数据。
禁止将数据库异常直接拼接到 HTTP 响应。

即使错误信息不再回显，也不能认为漏洞已经修复。错误隐藏只是降低信息泄漏，不能阻止注入执行。

3. 布尔盲注

布尔盲注利用应用状态的差异来推断条件是否成立，例如：

从今天开始写博客

Sun, 27 Sep 2026 10:00:00 +0800

这是博客的第一篇文章。

开博客不需要等到自己「准备好」。更实际的做法是先确定一个很小的范围，然后持续记录。范围可以是一门正在学习的技能，也可以是一段项目经历，或者只是生活里值得回看的片段。

为什么现在开始

写作会迫使自己把模糊的想法整理清楚。很多时候，我们以为已经理解了一件事，真正写下来时才会发现仍然存在空缺。

长期写作还有两个好处：

文章会逐渐形成自己的知识索引。
过去的记录会让未来的选择更有依据。

第一阶段的规划

先不要设计复杂的栏目。第一阶段只需要保持三件事：

每月至少发布一篇文章。
每篇文章只解决一个明确的问题。
发布之后继续修改，而不是反复推迟发布。

接下来

这个博客会继续记录学习、项目和生活中的长期变化。内容不必完美，但需要真实、清楚，并且对自己有用。

如何用零成本搭建一个个人博客

Sat, 26 Sep 2026 20:30:00 +0800

这套博客不需要购买服务器。文章使用 Markdown 编写，GitHub 保存源文件，GitHub Pages 或 Cloudflare Pages 负责免费发布。

整体结构

整个流程只有四部分：

Hugo 把 Markdown 转换为静态网页。
Git 记录每次修改。
GitHub 保存代码并触发自动构建。
免费静态托管平台提供访问地址和 HTTPS。

本地写作

创建文章时运行：

hugo new posts/my-new-post.md

文章写完后，在本地检查：

hugo server -D

浏览器打开 http://localhost:1313。

发布

把改动提交到 GitHub 的 main 分支：

git add .
git commit -m "publish: new post"
git push

仓库中的自动发布流程会把网站重新构建并部署到 Pages。

为什么选择静态博客

静态博客不需要数据库，也没有复杂的运行时环境。它的文件体积小、加载速度快，安全维护成本低。对个人博客来说，这些特点通常比后台管理系统更重要。

博客常用 Markdown 写法

Fri, 25 Sep 2026 09:20:00 +0800

博客正文使用 Markdown。下面这些语法已经覆盖大部分日常写作场景。

标题

使用两个井号表示二级标题，三个井号表示三级标题：

## 二级标题
### 三级标题

列表

无序列表使用短横线：

- 第一项
- 第二项

有序列表使用数字：

1. 第一步
2. 第二步

引用

引用适合放醒目的补充说明。

对应写法：

> 引用适合放醒目的补充说明。

代码

行内代码使用反引号，例如 hugo server -D。

多行代码需要注明语言：

const message = "Hello, blog";
console.log(message);

图片

把图片放在 static/images/ 目录，然后在文章中引用：

![图片说明](/images/example.jpg)

图片文件名建议使用英文和短横线，避免空格与特殊字符。

关于

Thu, 24 Sep 2026 18:00:00 +0800

这里是我的个人博客，用来记录学习、项目和生活中的长期变化。

关于我

把这一段替换成你的自我介绍。可以写目前正在学习什么、关注哪些主题，以及希望通过博客记录什么。

关于本站

本站使用 Hugo 构建，文章使用 Markdown 编写，并通过 GitHub Pages 或 Cloudflare Pages 免费发布。

你可以通过 RSS 订阅更新。

归档

Wed, 23 Sep 2026 12:00:00 +0800

搜索

Tue, 22 Sep 2026 12:00:00 +0800