這是一份專為資訊安全初學者設計的 SQL Injection 教學素材包。無論您是對資安領域充滿好奇的國高中生，還是渴望了解基礎攻擊原理的初學者，本教學將以最淺顯易懂的方式，帶您逐步認識 SQL Injection 的核心概念、運作原理及常見應用手法。我們將避免使用過於複雜的術語和冗長的比喻，聚焦於知識點的結構化呈現，並輔以豐富的圖像化說明，幫助您更有效地理解。
本素材包共分為七個主要單元，涵蓋從資料庫基礎、SQL 語法介紹，到 SQL Injection 的詳細解析、類型區分、實際應用案例，以及專為您設計的 CTF 挑戰題目與詳盡解答。透過循序漸進的學習路徑，我們旨在幫助您建立紮實的資安基礎，培養對網路安全的正確認知。
資料庫（Database）就像是一個巨大的 電子文件櫃用於儲存和組織資料的系統。，它有條理地儲存著各種資訊。想像一下學校的學生名冊、圖書館的書籍清單，甚至是購物網站的商品庫存，這些大量的資料都需要一個高效且安全的方式來管理。資料庫正是為了這個目的而生。
在資料庫中，資料通常被組織成一個個的 表格（Table）資料庫中用於儲存特定類型資料的結構，包含多個欄位和記錄。。每個表格都由 欄位（Column）表格中的一個類別，定義了該欄位儲存的資料類型和屬性。和 記錄（Record/Row）表格中的一行資料，代表一個獨立的項目或實體。組成。欄位定義了資料的種類（例如：姓名、年齡、學號），而記錄則是一筆筆具體的資料（例如：王小明, 15, S001）。
資料庫不僅僅是儲存資料，它還能讓我們快速地 新增、修改、刪除和查詢資料。這使得資料的管理變得非常有效率，也是許多現代應用程式運作的基礎。
範例：學生資料表
一個名為 students 的資料表可能包含以下欄位與記錄：
欄位：student_id (學號), name (姓名), age (年齡), grade (年級)
記錄：(S001, 王小明, 15, 國三)
記錄：(S002, 陳美玲, 16, 高一)
SQL (Structured Query Language)一種用於管理和操作關聯式資料庫的標準電腦語言。 是一種專門用來與資料庫溝通的語言。你可以把它想像成是資料庫的「通用語」，無論是哪種品牌的資料庫，只要你使用 SQL，就能對它下達指令，讓它執行你需要的操作。
SQL 語言主要用於執行四種基本操作，通常簡稱為 CRUD：
透過這些指令，SQL 語言讓資料庫的日常管理和資料存取變得既簡單又強大。
常見的 SQL 查詢語句範例：
SELECT * FROM users WHERE username = 'admin';
這條語句的意思是：「從名為 users 的資料表中，找出所有 username 欄位是 'admin' 的記錄。」
SQL Injection（SQL 隱碼攻擊）一種網路攻擊手法，攻擊者將惡意 SQL 語句注入到應用程式的輸入參數中，從而操控資料庫。 是一種常見的網路攻擊手法，它利用了網頁應用程式在處理使用者輸入時的漏洞。
當一個網頁或應用程式需要從使用者那裡獲取資訊（例如：登入時輸入帳號密碼，或搜尋商品時輸入關鍵字）並將這些資訊送往資料庫查詢時，如果程式沒有對這些輸入進行適當的 驗證和過濾，攻擊者就有機會將惡意的 SQL 程式碼「注入」到原本的查詢語句中。
想像一下，你和資料庫之間有一個翻譯員（網頁應用程式），你告訴翻譯員：「請幫我找出叫做『王小明』的學生。」翻譯員會把這句話翻譯成 SQL 語句去問資料庫。但如果翻譯員沒有檢查你說的話，你偷偷在「王小明」後面加上一句「順便把所有學生資料都給我」，這個惡意的指令就會被一起傳給資料庫，造成資訊洩漏或其他破壞。
SQL Injection 攻擊的目的是 繞過安全控制、竊取敏感資料、篡改資料，甚至完全控制資料庫系統。因此，對於網頁開發者來說，防範 SQL Injection 是非常重要的。
SQL Injection 範例：
假設一個登入頁面後台的 SQL 語句是這樣：
SELECT * FROM users WHERE username = '使用者輸入的帳號' AND password = '使用者輸入的密碼';
如果攻擊者在帳號欄位輸入：' OR '1'='1
那麼原本的 SQL 語句就會變成：
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '你的密碼';
由於 '1'='1' 永遠為真，這使得 WHERE 條件恆成立，資料庫可能會返回第一筆使用者資料，攻擊者便無需知道正確密碼就能登入。
In-band SQL Injection是最常見且相對直接的 SQL Injection 類型。其特點是攻擊者可以在同一個通訊通道中 傳送攻擊指令，並且 立即接收到資料庫的回應。
想像你直接向一個會說話的機器人提問，而機器人立刻給你答案。在 SQL Injection 的情境下，這意味著當攻擊者注入惡意 SQL 語句時，資料庫的錯誤訊息或查詢結果會直接顯示在網頁上，讓攻擊者能清楚地看到攻擊是否成功以及獲得的資料。
這種攻擊通常發生在網頁將資料庫查詢的原始錯誤訊息或查詢結果直接顯示給使用者時。攻擊者可以利用這一點，透過构造特殊的 SQL 語句，來執行任意的資料庫操作，並從網頁的回應中獲取敏感資訊。
範例：攻擊者輸入 1' OR 1=1 -- 到一個產品 ID 的輸入框。如果網頁顯示所有產品資訊，就是 In-band SQLi 的表現。
與In-band SQLi 不同，Blind SQL Injection攻擊者無法直接從網頁回應中看到資料庫的錯誤訊息或查詢結果，而是根據網頁行為（如頁面是否載入、載入時間）來推斷資料庫的結果。 是一種更為隱蔽的攻擊方式。在這種情況下，攻擊者無法直接從網頁上看到資料庫的錯誤訊息或查詢結果。
想像你問機器人一個問題，但它不直接給你答案，而是給你一個「是」或「否」的訊號（例如燈亮或燈滅），或者根據問題的複雜程度，回答時間會變長或變短。攻擊者正是透過觀察網頁的這些 微小差異（如頁面載入速度、頁面內容的微小變化） 來判斷他們注入的 SQL 語句是否成功執行，進而推斷資料庫中的資訊。
盲化攻擊通常分為兩種主要類型：
雖然盲化攻擊比 In-band SQLi 更耗時，但它在許多無法直接顯示資料的環境下仍然非常有效。
範例：布林盲化
攻擊者輸入 1' AND (SELECT LENGTH(password) FROM users WHERE username='admin') > 5 -- 到輸入框。
如果頁面顯示正常，則表示 admin 密碼長度大於 5。如果頁面顯示錯誤，則表示小於等於 5。攻擊者可以重複此步驟，逐步猜測密碼的長度及內容。
錯誤型攻擊（Error-based SQL Injection）利用資料庫在處理惡意 SQL 語句時產生的錯誤訊息，從中提取敏感資料。 是一種利用資料庫的「碎碎念」來竊取資訊的攻擊。當攻擊者注入的 SQL 語句導致資料庫發生錯誤時，如果網頁應用程式沒有妥善處理這些錯誤，甚至直接將 資料庫的錯誤訊息 顯示在網頁上，那麼這些錯誤訊息中就可能包含攻擊者想要的敏感資料。
想像你故意給機器人一個它無法理解的指令，而機器人直接將它內部「思考失敗」的詳細過程（包括它原本處理的資料片段）都說出來。攻擊者正是利用資料庫內建的某些函數，這些函數在接收到特定輸入時會刻意產生錯誤，並且在錯誤訊息中「夾帶」資料庫的內部資訊，從而讓攻擊者獲取資料。
這種攻擊方式通常依賴於資料庫的特定版本和其錯誤處理機制。雖然不像 In-band SQLi 那樣直接顯示查詢結果，但錯誤訊息仍然能提供大量有用的資訊，讓攻擊者能夠構建更精確的攻擊。
範例：攻擊者輸入 1' AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT(0x7c,(SELECT version()),0x7c,FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a) -- 到輸入框。
這個 payload 會強制資料庫產生錯誤，並且在錯誤訊息中會顯示資料庫的版本號（例如：|5.7.32-0ubuntu0.18.04.1|），攻擊者就可以利用這種方式逐步獲取資料。
聯合查詢型攻擊（Union-based SQL Injection）利用 SQL 的 UNION 操作符將惡意查詢的結果合併到應用程式的正常查詢結果中，並將其顯示在網頁上。 是一種利用 SQL 語言中 UNION 操作符的攻擊手法。這個操作符可以用來將兩個或多個 SELECT 語句的結果集合併成一個單一的結果集。
想像你要求機器人列出所有紅色的水果。如果你能偷偷地在後面加上一個指令：「順便列出所有藍色的車子」，然後機器人把紅色水果和藍色車子一起列給你，這就是聯合查詢的原理。攻擊者正是利用這個特性，在一個合法的 SQL 查詢後面，透過 UNION SELECT 語句，注入他們自己的查詢，從而將資料庫中的 敏感資料與網頁原本要顯示的內容一起呈現出來。
這種攻擊成功的關鍵是注入的 SELECT 語句與原始查詢語句的 欄位數量和資料類型必須匹配。攻擊者通常會透過一些技巧來猜測原始查詢的欄位數量，例如使用 ORDER BY 語句或多次嘗試，直到找到匹配的數量為止。
一旦欄位數量匹配，攻擊者就可以構造精確的查詢，從資料庫中提取使用者名稱、密碼、信用卡號等敏感資訊，並將其顯示在網頁上。
範例：假設原始查詢是 SELECT product_name, price FROM products WHERE category = 'Electronics';
攻擊者注入 ' UNION SELECT username, password FROM users --
最終查詢可能變成：
SELECT product_name, price FROM products WHERE category = 'Electronics' UNION SELECT username, password FROM users;
如果成功，網頁上除了顯示電子產品，還會列出資料庫中的使用者帳號和密碼。
資料竊取（Data Theft）透過 SQL Injection 攻擊，從資料庫中非法提取敏感或機密資訊。 是 SQL Injection 最直接且最常見的應用目的之一。攻擊者透過注入惡意 SQL 語句，可以繞過應用程式原有的資料存取限制，從資料庫中 讀取未經授權的資訊。
想像一個裝滿寶藏的保險箱，正常情況下你需要正確的鑰匙（合法查詢）才能打開並取出你應得的寶藏。但如果保險箱有缺陷，攻擊者可以利用一個特殊的工具（惡意 SQL 語句）直接撬開它，取出所有或部分寶藏（資料）。
這些被竊取的資料可能包括但不限於：
資料竊取對個人和組織都會造成嚴重的損害，可能導致身份盜用、經濟損失、聲譽受損等後果。
範例：攻擊者注入 ORDER BY 1 -- 來猜測欄位數量，然後注入 UNION SELECT username, password FROM users -- 來獲取使用者帳號密碼。
資料竄改（Data Tampering）透過 SQL Injection 攻擊，非法修改、更新或刪除資料庫中的現有資料。 是指攻擊者透過 SQL Injection 攻擊，對資料庫中已有的資料進行 非法的修改、更新或刪除。這比單純的資料竊取更具破壞性，因為它會直接影響資料的完整性和準確性。
想像你是一個銀行帳戶的擁有者，你的帳戶餘額應該是 1000 元。但如果攻擊者成功進行了資料竄改，他可能將你的餘額改為 0 元，或者將自己的帳戶餘額增加。這就像是有人偷偷進入你的帳本，隨意更改上面的數字。
資料竄改的常見目的和可能後果包括：
資料竄改會嚴重破壞資料的信任度和系統的正常運作，對企業和使用者都可能造成災難性的影響。
範例：攻擊者輸入 '; UPDATE users SET is_admin = 1 WHERE username = 'testuser'; --
這會將 testuser 的 is_admin 欄位設置為 1，使其獲得管理員權限。
繞過認證（Bypassing Authentication）透過注入惡意 SQL 語句，讓登入系統在不知道正確憑證的情況下，允許攻擊者成功登入。 是 SQL Injection 最早且最廣為人知的一種應用。它允許攻擊者在 不知道正確使用者名稱或密碼的情況下，成功登入系統。
想像一個上了鎖的門，你需要鑰匙（帳號密碼）才能打開。但如果鎖的內部有缺陷，你說一句特定的「咒語」（惡意 SQL 語句），門就自己開了。攻擊者正是利用這種方式，讓原本需要嚴格驗證的登入流程失效。
常見的繞過認證攻擊通常利用 SQL 語句中的邏輯判斷，例如 OR '1'='1' 這樣的條件，使得無論輸入的密碼是否正確，整個 WHERE 條件都變為「真」。
一旦成功繞過認證，攻擊者就能以合法使用者的身份進入系統，並執行該使用者所擁有的所有權限，例如存取個人資料、修改設定，甚至進行更進一步的攻擊。
範例：攻擊者在帳號欄位輸入 admin' OR '1'='1' --，密碼隨意輸入或留空。
原始查詢：SELECT * FROM users WHERE username = '[ACCOUNT]' AND password = '[PASSWORD]';
注入後：SELECT * FROM users WHERE username = 'admin' OR '1'='1' --' AND password = '';
由於 -- 會將後面的內容變成註解，且 '1'='1' 恆為真，資料庫會判斷為成功登入。
任意指令執行（Remote Code Execution, RCE）透過 SQL Injection，攻擊者能夠在資料庫伺服器或底層作業系統上執行惡意程式碼或系統指令。 是 SQL Injection 攻擊中 最嚴重且最具毀滅性 的一種。它不僅限於操縱資料庫，而是允許攻擊者在資料庫伺服器所在的 底層作業系統上執行任意的系統指令。
想像一個機器人不僅聽從你的指令去整理文件（資料庫操作），甚至還能根據你的指令去操控它所在環境的電器（作業系統指令）。如果 SQL Injection 漏洞與配置不當的資料庫權限或外殼命令功能結合，攻擊者就可以做到這一點。
通常，這需要資料庫伺服器具備執行外部命令的能力，例如 Microsoft SQL Server 的 xp_cmdshell，或者 MySQL 的 LOAD_FILE/寫入功能結合 Web Shell。攻擊者可以利用這些功能來：
成功執行任意指令意味著伺服器可能被完全攻陷，導致嚴重的資料洩漏、服務中斷，甚至被納入殭屍網路，後果不堪設想。
範例 (針對 MSSQL 的 xp_cmdshell)：
攻擊者注入 '; EXEC master..xp_cmdshell 'dir c:\'; --
如果成功，資料庫會執行 dir c:\ 指令，並將結果顯示在網頁上（如果支持帶內回顯），或者將結果寫入一個文件。
準備好挑戰了嗎？
在你的終端機（或 CMD）輸入以下指令，
前往 CTF 練習平台開始解題！
這是一串指令，輸入後會安裝映像檔，開啟就可以挑戰了！
（下載Docker）
首先進入網站，然後先隨意輸入使用者名稱和密碼
接者Submit登入他，會發現登入失敗，並發現SQL語法長的如圖
回到上一頁，在使用者名稱處輸入 admin 密碼輸入 ' OR 1=1 -- -
先用 ' 隔開查詢語法，再用 OR 1=1 使條件永遠為真，最後用 -- - 用於註解剩下雜亂的搜尋語法，以確保條件永遠為真且語法不會錯誤
了解 OWASP Top 10 中 Injection 攻擊的詳細內容，認識更多種類的注入攻擊。
PortSwigger 是知名的資安工具開發商，其網站提供大量專業且深入的 SQL Injection 教學文章。
W3Schools 提供基礎的 SQL 語法教學，幫助您更深入理解 SQL 語言的運作。
學習更多關於網頁安全的基礎知識，理解常見的網頁漏洞與防禦方法。
若想進階實作，Hack The Box Academy 提供互動式的 SQL Injection 練習模組。
台灣資安社群提供的中文教學資源，內容更貼近華人學習者習慣。