DVWA on 鬼属文

SQL 注入 Impossible(4)：PHP 源码分析与四级对比

Tue, 04 Aug 2026 18:00:00 +0800

概述

DVWA SQL 注入的四个等级中，Impossible 不是让你攻破的——它是安全样例，告诉你"如果一开始就写对，前面那些漏洞根本不会存在"。本文逐一拆解四级源码，以 Impossible 为重点，看它如何从根源上消除 SQL 注入。

一、Low：裸奔

$id = $_REQUEST[ 'id' ];
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query);

问题清单

问题	代码体现	后果
无过滤	直接 `$_REQUEST['id']` 进 SQL	输入即代码
字符型拼接	`WHERE user_id = '$id'` — 引号包裹	`'` 可用于闭合字符串上下文
报错暴露信息	`or die(...mysqli_error()...)`	攻击者看到语法错误，帮助调试 payload

为什么 `1' or '1'='1' #` 能打穿

-- 拼接后：
SELECT ... WHERE user_id = '1' or '1'='1' #'
--                          ↑ 闭合  ↑ 注入  ↑ 注释吞尾

攻击者的 ' 提前结束了字符串字面量，or '1'='1' 进入代码上下文，# 吞掉尾部多余引号。数据越界变成了代码。

SQL 注入 High(3)：分页注入与三级对比总结

Tue, 04 Aug 2026 16:00:00 +0800

High 的变化

DVWA High 的 SQL 注入与 Low/Medium 不同——输入页面和结果页面分开了。

Low/Medium：  一个页面 — 上面输入框，下面结果
High：        两个页面 — Session 页面（输入 payload）→ 结果页面（看输出）

在 SQL Injection 主页面看到的是 “Click here to change your ID”，点击后弹出新页面输入 ID，Submit 后回到主页面看结果。

后端做了什么

High 的 PHP 源码逻辑：

// 结果页面（sqli.php）：
if (isset($_SESSION['id'])) {
    $id = $_SESSION['id'];
    $query = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";
    // 执行查询，显示结果
}

// 输入页面（sqli_session.php）：
$_SESSION['id'] = $_POST['id'];

Payload 存在 PHP session 变量里，两个页面通过 $_SESSION['id'] 共享同一个值。SQL 语句本身没有任何变化——字符型注入，没有任何过滤。

SQL 注入 Medium(2)：数字型注入与 Burp Suite 绕过

Tue, 04 Aug 2026 14:00:00 +0800

Medium 的变化

DVWA Medium 相比 Low 加了三道防线：

防线	Low	Medium	有效吗
输入方式	文本框	下拉菜单（1-5）	⚠️ 前端限制，可绕过
请求方式	GET	POST	⚠️ 换种发请求的方式
后端过滤	无	`mysqli_real_escape_string()` 转义 `'`	❌ 数字型没有引号可转

关键发现：Medium 后端 SQL 是数字型——WHERE user_id = 1，没有单引号包裹参数。

绕过下拉菜单：curl + Burp Suite 代理

环境

Kali Firefox → Burp Suite (127.0.0.1:8081) → DVWA (127.0.0.1:8080)
SSH 隧道：Kali 8080 → mycvm 127.0.0.1:8080（DVWA 容器）
Burp 代理：Kali 8081 → 截获/修改请求 → 转发到 8080

Burp Suite 配置

Kali 桌面搜 burp → Burp Suite Community → Temporary project → Use Burp defaults → Start
Proxy → Options → Proxy Listeners → 确认/添加 127.0.0.1:8081
Firefox → Settings → Network Settings → Manual proxy → 127.0.0.1:8081 → 勾选 “Also use this proxy for HTTPS”

用 curl 绕过下拉菜单

DVWA Medium 的 SQL Injection 使用 POST 请求。curl 直接发 POST，不受前端下拉菜单限制：

SQL 注入 Low(1)：字符型注入与手工测试流程

Tue, 04 Aug 2026 10:00:00 +0800

第一部分：SQL 注入概述

什么是 SQL 注入

SQL 注入（SQL Injection）是将恶意的 SQL 语句片段插入到应用程序的输入参数中，让后端数据库误以为这是合法的查询指令并执行它。

简单说：你的输入被当作代码执行了。

正常请求：
  浏览器 → 输入 user_id=1 → 服务器 → SQL: SELECT * FROM users WHERE id='1' → 返回 admin

注入请求：
  浏览器 → 输入 user_id=1' or '1'='1' # → 服务器 → SQL 被篡改 → 返回全部用户数据

为什么 SQL 注入能成立

三个条件同时满足：

用户输入直接拼接到 SQL 语句中（没有参数化查询）
输入中的特殊字符（'、"、--、#）没有被转义或过滤
数据库把拼接后的字符串当作 SQL 执行

这三个条件缺一个，注入就不成立。

注入的本质：脱离数据上下文，进入代码上下文

SELECT * FROM users WHERE id = '1'
                                │ │
                                │ └── 后引号（后端写死的）
                                └── 前引号（后端写死的，你的输入从它后面开始）

-- 正常输入时，你的数据在引号里——是"数据"
-- 你的输入里包含 ' 后，你提前闭合了引号——后面的内容进入了"代码"区域
-- 这就是注入的本质

什么是 Payload

Payload = 攻击载荷 = 你精心构造的那段输入字符串。

SQL 注入基础：字符型注入与手工测试流程

Tue, 04 Aug 2026 10:00:00 +0800

第一部分：SQL 注入概述

什么是 SQL 注入

SQL 注入（SQL Injection）是将恶意的 SQL 语句片段插入到应用程序的输入参数中，让后端数据库误以为这是合法的查询指令并执行它。

简单说：你的输入被当作代码执行了。

正常请求：
  浏览器 → 输入 user_id=1 → 服务器 → SQL: SELECT * FROM users WHERE id='1' → 返回 admin

注入请求：
  浏览器 → 输入 user_id=1' or '1'='1' # → 服务器 → SQL 被篡改 → 返回全部用户数据

为什么 SQL 注入能成立

三个条件同时满足：

用户输入直接拼接到 SQL 语句中（没有参数化查询）
输入中的特殊字符（'、"、--、#）没有被转义或过滤
数据库把拼接后的字符串当作 SQL 执行

这三个条件缺一个，注入就不成立。

注入的本质：脱离数据上下文，进入代码上下文

SELECT * FROM users WHERE id = '1'
                                │ │
                                │ └── 后引号（后端写死的）
                                └── 前引号（后端写死的，你的输入从它后面开始）

-- 正常输入时，你的数据在引号里——是"数据"
-- 你的输入里包含 ' 后，你提前闭合了引号——后面的内容进入了"代码"区域
-- 这就是注入的本质

什么是 Payload

Payload = 攻击载荷 = 你精心构造的那段输入字符串。

Docker 部署 DVWA 与 SSH 隧道

Tue, 28 Jul 2026 10:00:00 +0800

Docker 部署 DVWA 与 SSH 隧道

日期：2026-07-28
前文：02_Docker与虚拟机与NAS

一、DVWA 是什么

DVWA（Damn Vulnerable Web Application） 是一个故意设计得漏洞百出的 PHP/MySQL Web 应用，用于安全从业人员练习渗透测试。

内置漏洞类型（对应 CISP-PTE Web 维度 40 分）

漏洞类型	攻击方法	CISP-PTE 覆盖
SQL 注入	联合查询 / 报错注入 / 盲注	✅
XSS	反射型 / 存储型 / DOM 型	✅
CSRF	跨站请求伪造	✅
文件包含	LFI（本地文件包含）/ RFI（远程文件包含）	✅
文件上传	前端绕过 / MIME 绕过 / 黑名单绕过	✅
命令注入	RCE（远程命令执行）	✅
暴力破解	弱口令爆破	✅
CAPTCHA 绕过	验证码逻辑漏洞	✅

安全等级

Low       → 无任何防护，学习漏洞原理
Medium    → 有基础过滤（如 mysql_real_escape_string），但可绕过
High      → 更强的防御，需要更高级的绕过技巧
Impossible → 理论上无法攻破（最佳实践级别的防御）

二、部署过程

完整命令

# 1. 拉取镜像（经中科大 Docker 镜像加速）
docker pull vulnerables/web-dvwa

# 2. 启动容器（仅监听本地 127.0.0.1，不暴露到公网）
docker run -d --name dvwa -p 127.0.0.1:8080:80 vulnerables/web-dvwa

参数解释

参数	含义
`docker pull`	从镜像仓库下载 DVWA 镜像到本地
`docker run -d`	后台运行容器（`-d` = detached）
`--name dvwa`	给容器起名 `dvwa`，之后用这个名字操作容器
`-p 127.0.0.1:8080:80`	端口映射——宿主机 127.0.0.1 的 8080 端口 → 容器内的 80 端口
`vulnerables/web-dvwa`	使用的镜像名

三、验证结果分析

命令 1：`docker ps`（查看正在运行的容器）

CONTAINER ID   IMAGE                  COMMAND      CREATED         STATUS         PORTS                    NAMES
89beb5ef831d   vulnerables/web-dvwa   "/main.sh"   7 minutes ago   Up 7 minutes   127.0.0.1:8080->80/tcp   dvwa

字段	本机输出	含义
CONTAINER ID	`89beb5ef831d`	容器的唯一标识（与镜像 ID 不同——镜像是模板，容器是运行实例）
IMAGE	`vulnerables/web-dvwa`	基于哪个镜像创建的
COMMAND	`/main.sh`	容器启动时执行的脚本（DVWA 的入口）
CREATED	`7 minutes ago`	容器创建时间
STATUS	`Up 7 minutes`	`Up` = 正在运行（`Exited` = 已停止）
PORTS	`127.0.0.1:8080→80/tcp`	端口映射——关键：只有 `127.0.0.1`，公网无法访问
NAMES	`dvwa`	容器名称，之后用 `docker stop dvwa` 等控制它

命令 2：`ss -tlnp | grep -E '22|8080'`（查看端口监听状态）

LISTEN  0  4096  127.0.0.1:8080  0.0.0.0:*
LISTEN  0  128   0.0.0.0:22      0.0.0.0:*
LISTEN  0  128   [::]:22         [::]:*

行	监听地址	端口	含义
第 1 行	`127.0.0.1`	8080	DVWA 容器——只监听本地回环，外网无法访问
第 2 行	`0.0.0.0`	22	SSH 服务——监听所有网卡，任何 IP 都能连（但只允许密钥认证）
第 3 行	`[::]`	22	SSH 服务 IPv6 版

`0.0.0.0` 和 `127.0.0.1` 的区别

0.0.0.0:22     → "谁来都行"：公网 IP、内网 IP、127.0.0.1 都能访问 22 端口
                  SSH 需要这个——你从家里连服务器，走的就是公网 IP 的 22 端口

127.0.0.1:8080 → "只允许我自己"：只有在本机（服务器自己）才能访问 8080
                  外部任何 IP 都连不上 8080——即使知道端口号也没用
                  DVWA 要的就是这个——靶机不能暴露给公网脚本小子

四、SSH 隧道：在保证安全的前提下让你访问靶机

为什么需要隧道

问题：
  浏览器在你的 Windows 电脑上 → DVWA 在远程服务器上
  但 DVWA 只监听 127.0.0.1 → 你的浏览器无法直接访问

解决：
  SSH 隧道 = 在你的电脑和服务器之间挖一条加密通道
  你把本地 8080 端口的请求，通过 SSH（22 端口）转发到服务器的 127.0.0.1:8080
  结果：浏览器打开 127.0.0.1:8080，实际上访问的是服务器上的 DVWA

隧道命令

ssh -L 8080:127.0.0.1:8080 mycvm

参数	含义
`-L`	Local port forwarding（本地端口转发）
`8080`	本地（Windows）监听的端口
`127.0.0.1`	目标 IP——这里指服务器自己的 127.0.0.1
`8080`	目标端口——DVWA 容器映射出来的端口
`mycvm`	SSH 别名，指向你的云服务器

隧道工作原理

┌─────────────────────────────────────────────────────┐
│  你的 Windows 电脑                                    │
│                                                     │
│  浏览器 ──→ http://127.0.0.1:8080                    │
│                │                                    │
│                ▼                                    │
│          SSH 客户端（ssh -L 8080:...）                │
│          把本地 8080 的请求通过 SSH 隧道转发            │
└────────────────┬────────────────────────────────────┘
                 │
                 │ SSH 隧道（走 22 端口，全程加密）
                 │
┌────────────────┴────────────────────────────────────┐
│  云服务器                                              │
│                                                     │
│  SSH 服务端 ──→ 转发到 127.0.0.1:8080                  │
│                        │                            │
│                        ▼                            │
│                  Docker 容器（DVWA:80）               │
└─────────────────────────────────────────────────────┘

访问步骤

1. 本地 PowerShell 跑：ssh -L 8080:127.0.0.1:8080 mycvm
   → 保持这个窗口开着（关了隧道就断了）

2. 本地浏览器打开：http://127.0.0.1:8080
   → 默认账号 admin / password
   → 进入后点击 "Create / Reset Database" 初始化

3. 隧道窗口 Ctrl+C → 隧道断开 → 浏览器访问不了 → 靶机关闭不影响安全

安全边界总结

公网能访问的：
  ✅ 22 端口（SSH）——但只允许密钥认证，暴力破解无效

公网不能访问的：
  ❌ 8080 端口（DVWA）——127.0.0.1 绑定 + 安全组未开放
  ❌ 通过 22 端口的 SSH 隧道 → 需要先通过密钥认证才能建立隧道

结论：要访问 DVWA，必须同时满足：
  1. 拥有你的私钥（id_ed25519）
  2. 建立 SSH 隧道
  缺少任何一个条件 → 靶机完全不可见

五、Docker 常用控制命令速查

docker ps                  # 查看运行中的容器
docker stop dvwa           # 停止 DVWA
docker start dvwa          # 重新启动
docker rm dvwa             # 删除容器
docker images              # 查看本地所有镜像
docker system prune -a     # 清理所有未使用的镜像/容器（省磁盘）

六、当前服务器状态

一台云服务器：mycvm（154.8.147.160）
  ├── SSH（22 端口，密钥认证）
  ├── Docker Engine
  │   ├── 镜像：vulnerables/web-dvwa
  │   └── 容器：dvwa（127.0.0.1:8080，仅本机访问）
  ├── Docker 镜像加速：中科大 + DaoCloud
  └── apt 源：腾讯云内网源

下一步：开始在 DVWA 上手动练习 SQL 注入（Low 等级）

DVWA on 鬼属文

SQL 注入 Impossible(4)：PHP 源码分析与四级对比

概述

一、Low：裸奔

问题清单

为什么 1' or '1'='1' # 能打穿

SQL 注入 High(3)：分页注入与三级对比总结

High 的变化

后端做了什么

SQL 注入 Medium(2)：数字型注入与 Burp Suite 绕过

Medium 的变化

绕过下拉菜单：curl + Burp Suite 代理

环境

Burp Suite 配置

用 curl 绕过下拉菜单

SQL 注入 Low(1)：字符型注入与手工测试流程

第一部分：SQL 注入概述

什么是 SQL 注入

为什么 SQL 注入能成立

注入的本质：脱离数据上下文，进入代码上下文

什么是 Payload

SQL 注入基础：字符型注入与手工测试流程

第一部分：SQL 注入概述

什么是 SQL 注入

为什么 SQL 注入能成立

注入的本质：脱离数据上下文，进入代码上下文

什么是 Payload

Docker 部署 DVWA 与 SSH 隧道

Docker 部署 DVWA 与 SSH 隧道

一、DVWA 是什么

内置漏洞类型（对应 CISP-PTE Web 维度 40 分）

安全等级

二、部署过程

完整命令

参数解释

三、验证结果分析

命令 1：docker ps（查看正在运行的容器）

命令 2：ss -tlnp | grep -E '22|8080'（查看端口监听状态）

0.0.0.0 和 127.0.0.1 的区别

四、SSH 隧道：在保证安全的前提下让你访问靶机

为什么需要隧道

隧道命令

隧道工作原理

访问步骤

安全边界总结

五、Docker 常用控制命令速查

六、当前服务器状态

为什么 `1' or '1'='1' #` 能打穿

命令 1：`docker ps`（查看正在运行的容器）

命令 2：`ss -tlnp | grep -E '22|8080'`（查看端口监听状态）

`0.0.0.0` 和 `127.0.0.1` 的区别