如何验证SQL注入危害

验证 SQL 注入的危害必须在合法授权、可控环境下进行，严禁对未经授权的系统测试，否则可能违法（如《网络安全法》《刑法》相关条款）。下面从原理 → 合法验证方法 → 危害示例 → 防护建议几个方面说明。

一、SQL 注入危害的本质

SQL 注入是指：

攻击者通过构造恶意输入，使应用程序把用户输入当成 SQL 代码执行。

可能的危害包括：

• 绕过登录验证
• 读取敏感数据（用户、密码、隐私）
• 修改或删除数据
• 执行系统命令（在特定数据库配置下）
• 完全控制数据库甚至服务器

二、合法验证方式（重点）

✅ 1. 搭建本地测试环境

推荐做法：

• 本地搭建：MySQL + PHP/Java/Python
• 使用漏洞演练平台（合法）：
  • DVWA（Damn Vulnerable Web Application）
  • SQLi-Labs
  • PortSwigger Web Security Academy

示例（DVWA）：

' OR '1'='1

用于验证登录绕过是否成功。

✅ 2. 使用参数化查询对比验证

有漏洞代码（示例 PHP）：

$sql = "SELECT * FROM users WHERE name = '$name'";

输入：

admin' --

可能绕过验证。

安全代码（参数化）：

$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ?");
$stmt->execute([$name]);

对比两者结果，验证注入是否成立。

✅ 3. 使用安全扫描工具（授权环境）

• sqlmap（仅授权测试）

sqlmap -u "http://localhost/test.php?id=1" --batch

可验证：

• 是否存在注入点
• 是否能读取数据库内容

三、常见危害验证示例（本地）

1️⃣ 登录绕过

' OR '1'='1' --

2️⃣ 数据泄露

' UNION SELECT username, password FROM users --

3️⃣ 数据库版本探测

' UNION SELECT version() --

四、为什么不能随便“验证”

• 对公网网站测试 = 违法行为
• 即使“只是试试”也可能留日志、触发告警
• 企业环境需书面授权 + 渗透测试合同

五、防护建议（验证之后）

• 使用 预编译语句（Prepared Statement）
• 最小权限数据库账户
• 输入校验 + 输出编码
• WAF（Web 应用防火墙）
• 定期安全审计

如果你愿意，我可以：

• 帮你搭建一个本地 SQL 注入实验环境
• 给你一步一步的合法验证教程
• 或帮你检查某段代码是否存在注入风险

只要告诉我你的技术栈即可。