Injection Vulns

injection-vulns — 注入类漏洞专项深度挖掘

何时调用（触发条件）

• 参数直接拼接到 SQL / NoSQL 查询（搜索、筛选、排序、分页、导出条件）
• JSON 查询条件可控（{"$gt":0} 等 MongoDB 风格）
• 用户输入进入 shell 命令（exec/system/ProcessBuilder、ping/curl/文件名拼接）
• 用户输入进入模板引擎（Jinja2/Velocity/Freemarker/Thymeleaf）
• 用户输入进入表达式解释器（SpEL/OGNL/EL/MVEL）
• 危险函数出现在代码审计结果中（见 source-code-audit）

一、漏洞类型全景

| 类型 | 危险函数/场景 | 挖掘要点 | |---|---|---| | C1. SQL注入 | 拼接SQL、动态排序 | 响应差异验证（错误/延迟/条数） | | C2. NoSQL注入 | JSON查询条件可控 | 类型替换、全量查询 | | C3. 命令注入 | exec/system/ProcessBuilder | shell拼接、管道符 | | C4. 模板注入（SSTI） | Jinja2/Velocity/Freemarker | 用户输入进入模板渲染 | | C5. 表达式注入 | SpEL/OGNL/EL | 可控片段进入解释器 |

二、常见场景清单（搜索/查询类）

| 场景 | 漏洞类型 | 挖掘要点 | |---|---|---| | 站内搜索 | SQL注入/XSS/信息泄露 | 搜索词拼接、搜索结果反射 | | 高级筛选/排序 | SQL注入/NoSQL注入 | order by注入、筛选条件可控 | | 自动补全/联想 | 信息泄露/用户枚举 | 补全接口泄露敏感数据 | | 数据统计/图表 | SQL注入/越权 | 统计维度可控、跨权限聚合 | | ES/Solr搜索 | 查询注入/未授权 | DSL注入、搜索接口暴露 |

三、接口 Fuzz 技巧（参数污染与类型混淆）

参数污染：
  ?id=1&id=2  → 看哪个生效
  ?id[]=1&id[]=2 → 数组化
  ?id=1,2,3 → 批量查询

类型混淆：
  id=1 → id="1" → id={"$gt":0} → id[]=1

编码绕过：
  Unicode: \u002e\u002e/ (../)
  双重URL编码: %252e%252e%252f

隐藏参数：
  debug=1 / test=1 / admin=1
  _method=PUT / X-HTTP-Method-Override

批量操作：
  ids=1,2,3,4,5 一次查多个
  page=-1 / limit=99999 绕过分页

四、SQL 注入绕过技术

大小写：SeLeCt / 双写：selselectect
注释：/**/、/*!*/、--+、#
编码：URL编码、十六进制、Unicode
等价函数：substr→mid、ascii→ord

五、命令注入绕过技术

分隔符：| / || / & / && / ; / %0a
空格：${IFS} / $IFS$9 / %09 / {cat,/etc/passwd}
通配符：/???/??t /etc/passwd

六、验证要点

• 响应差异对比：基线请求 vs 注入请求的状态码/响应大小/错误信息/响应时间
• 时间盲注：SLEEP(5) / pg_sleep(5) / WAITFOR DELAY '0:0:5' 验证
• 报错注入：updatexml / extractvalue / 类型转换错误
• NoSQL：{"$ne":null}、{"$where":"1==1"}、数组/类型替换
• SSTI：{{7*7}}、${7*7}、`` 探测
• 命令注入：id、whoami、DNSLog 外带
• 所有注入点至少尝试到 Level 4 绕过（见 CLAUDE.md 1.1 第五节）

七、修复建议

• SQL：预编译/参数化查询，动态排序用白名单映射
• NoSQL：禁止 $ 运算符进入查询条件，类型强校验
• 命令：白名单命令 + 参数数组传递，禁止 shell 拼接
• SSTI：模板引擎关闭危险特性（Jinja2 禁用 __class__ 链）
• 表达式：禁止用户可控片段进入 SpEL/OGNL/EL 解释器

八、输出与报告要点

• 完整 PoC（curl 命令），标注注入点参数与 payload
• 差异对比证据（基线响应 vs 注入响应）
• 影响面：可读取的库表、可执行的命令、可拿到的数据量
• 根因分析：输入点 → 传播链 → Sink

Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

• Author: zhaji2333
• Source: zhaji2333/CkSKILLS
• License: MIT

Install and usage instructions live in the source repository linked above.