华中红客2012脚本培训第五讲_入侵之注入漏洞php+mysql(上)

这套 2012 年的脚本培训资料，网上流传的整合包普遍缺第五讲，这里补的是上半部分，主题很明确：PHP + MySQL 环境下的注入漏洞原理与利用。放到今天看，它的价值不在于「新」，而在于它把当年手工注入的完整推理过程保留了下来——从参数探测、报错判断到闭合方式推测，这些步骤在后来的自动化工具里被封装成了按钮，但排查逻辑并没有变。如果你现在只会拿着 sqlmap 跑一把梭，回头补一下这一讲，能把手感找回来。

技术栈与运行环境

课程基于 PHP 4/5 时代的代码风格，配合 MySQL 4.x～5.x，典型环境是 Apache + PHP + MySQL 的 LAMP 组合，服务器多为 Windows 下的集成套件。这个组合决定了它讨论的注入场景：没有 PDO 预处理成为默认规范，mysql_query直接拼接 SQL 是常态，magic_quotes_gpc 这类历史配置还会影响引号的处理方式。理解这层背景很重要，否则你会困惑于为什么课程里的 payload 和你现在靶场上跑出来的结果不一致——宽字节、GBK 编码、addslashes 的绕过差异，都跟这个年代的环境设定直接相关。

环境本身的搭建也不复杂，一个集成包加一个测试脚本就能复现，不需要额外的容器编排。对于想对照实验的读者，建议显式把 PHP 版本和 MySQL 版本记录下来，因为不同版本对报错信息的暴露程度不同，这直接影响后文判断注入点的效率。

内容结构与拆解方式

作为「上半部分」，这一讲的重心在认知建立，而不是一击必杀。通常会覆盖这几块：注入漏洞的成因（用户输入未经处理进入 SQL 语句）、如何从 URL 参数或表单字段定位可疑入口、通过构造单引号或逻辑表达式观察页面回显差异、以及报错型注入的初步利用。数字型与字符型的区分、注释符的作用、字段数与回显位的探测，一般也在这个阶段交代清楚。

结构上它是跟着一个具体靶标走的，不是抽象讲概念。这种组织方式的好处是可以直接对照操作，坏处是知识点被藏在操作流里。建议看的时候自己拉一份清单，把每出现一个新手法就单独记一行，否则看完容易只记得「点了哪些地方」而记不住「为什么这么点」。

可复用的判断思路

• 输入点枚举：凡是能进数据库的参数都值得试，GET、POST、Cookie、Referer 都可能成为入口，课程里的靶标大概率只演示了其中一两类，剩下的靠你自己迁移。
• 回显差异对比：真假条件返回不同内容，是布尔盲注的基础；报错信息暴露路径或表名，是报错注入的基础。这两条判断线要分开记。
• 闭合推断：单引号、双引号、括号、反引号，构造 payload 时的闭合顺序决定了能不能正常执行。这一步没有捷径，靠多试。
• 编码与转义对抗：GBK 宽字节、URL 二次编码、注释符替代空格，都是绕过过滤的通用手段，放到后来的 CTF 题里依然常见。

这些思路离开 PHP+MySQL 也成立，换到其他数据库只是语法和函数名不同。把这四点吃透，比记住具体 payload 更有用。

自学路径与对照建议

这一讲不适合当唯一资料看。推荐的做法是：找一份当前版本的 DVWA 或 sqli-labs，把课程里的手动流程在本地重新走一遍，用当前 PHP 版本跑，观察哪些步骤因为环境变化失效了，再把失效的原因补进笔记。这个对比过程本身就是很好的训练——你会清楚区分「漏洞原理」和「特定环境下的利用技巧」。

配套代码和笔记建议做成可直接执行的测试脚本，而不是截图。手工注入的每一步都应该能在浏览器或终端里复现，能复现才算真的理解。顺便提醒一句，这类练习只在授权靶场或自己的环境里做，别对着线上系统试。

至于下半部分，一般会进入更完整的利用链，包括表结构猜测、数据读取和权限判断。先把上半部分的判断逻辑练熟，下半部分才接得住。如果你是带着「补全老教程缺失章节」的目的来的，这一讲基本能满足需求；如果是想系统学注入，建议把它当成一条历史线索，配合现代资料一起看。