SQL注入是Web安全中最经典、危害极高的漏洞，也是小白入门实战的最佳切入点。以下是为你量身定制的学习路径，从“看懂”到“挖到”，步步为营。

第一阶段：彻底搞懂原理（1-2周）

核心目标：明白SQL注入到底是怎么回事。

1. 一句话理解本质：网站把用户输入的数据，直接拼接到数据库查询语句中执行，导致用户输入可以改变原意，欺骗数据库。

2. 经典比喻：这就像你让助手（网站程序）去图书馆（数据库）传话。正常你说“找《西游记》”，助手说“请找《西游记》”。但如果你说“找《西游记》；再把所有藏书清单给我”，而助手原封不动地传话“请找《西游记》；再把所有藏书清单给我”，图书馆就会执行两条命令。你的分号;就改变了整个意图。

3. 看一个最简单的例子：

   • 网站登录查询本意：SELECT * FROM users WHERE username = '用户输入的名字' AND password = '用户输入的密码'

   • 如果你在用户名输入：admin' --（注意最后有个空格）

   • 查询语句就变成：SELECT * FROM users WHERE username = 'admin' -- ' AND password = '任意密码'

   • --在SQL中是注释符，后面的内容都被忽略。于是这句查询的意思是：找出用户名为admin的用户，完全绕过了密码检查。

第二阶段：搭建练习环境（第1天）

不要找任何真实网站测试！

1. 安装虚拟机：在电脑上安装VMware或VirtualBox。

2. 部署靶场：下载并安装 DVWA。它是专为安全练习设计的漏洞网站，包含从易到难的SQL注入场景。

   • 为什么是DVWA？你可以通过滑块自由调节漏洞的难度（有防护、无防护），非常适合循序渐进。

第三阶段：手动注入实战（2-3周）

在DVWA的“Low”安全等级下，亲手完成以下所有攻击。

1. 判断注入点：在输入框尝试输入 '和 ' and '1'='1，观察页面回显是否异常。

2. 联合查询注入：这是最核心、最常用的手段。目标是获取数据库其他表的数据。

   • 步骤：确定字段数 -> 确定回显位 -> 获取数据库名 -> 获取表名 -> 获取字段名 -> 拖取数据。

   • 你需要记忆的“口诀”：

     猜字段：order by 1,2,3...
     看回显：union select 1,2,3...
     爆库名：union select 1,database(),3...
     爆表名：union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()
     爆列名：union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'
     取数据：union select 1,username,password from users

3. 掌握信息获取的“地图”：所有MySQL数据库的结构信息都存储在 information_schema​ 这个默认数据库中，这是你进行注入的寻宝图。

第四阶段：掌握自动化工具（1周）

工具是效率的倍增器，但必须懂原理后再用。

1. 神器：SQLmap

   • 它能做什么：自动检测和利用SQL注入，并直接拖取数据。

   • 基础命令：sqlmap -u "http://靶场网址/vuln.php?id=1" --batch

   • 进阶使用：结合Burp Suite抓取的请求数据（保存为txt文件），用 -r参数加载，进行更复杂的注入。

   • 切记：工具是帮你验证和拓展思路的，不要成为只会敲命令的“脚本小子”。

第五阶段：挑战绕过与深入（持续）

在DVWA中将安全等级调至“Medium”、“High”，学习如何绕过常见的防护：

1. 绕过过滤：当 '和 空格被过滤时，尝试用 \'、%20、/**/替代。

2. 绕过WAF：了解宽字节注入、异或注入等高级技巧。

3. 盲注：当页面没有错误回显，只有“对”和“错”两种状态时，学习时间盲注和布尔盲注，像猜密码一样一位位地推断数据。

学习资源与下一步

• 终极靶场：SQLi-Labs，一个包含各种SQL注入场景的专项靶场，通关后你就是SQL注入高手。

• 免费交互式教程：PortSwigger Web Security Academy​ 的SQL注入模块，有详细讲解和在线实验室。

• 经典书籍：《SQL注入攻击与防御》

给你的行动清单：

1. 本周：看懂原理，搭好DVWA。

2. 下两周：在DVWA Low级别，完全手动复现一次完整的联合查询注入，拿到用户名和密码。

3. 一个月内：使用SQLmap自动化完成上述过程，并尝试在Medium级别下进行手动绕过。

记住，SQL注入的世界就像解谜，每一步逻辑都环环相扣。从最基础的开始，亲手敲下每一句Payload，观察每一次返回，你会获得巨大的成就感。安全练习，乐在其中！