SQL注入实战：从Pikachu靶场入门到手工与自动化利用

最新推荐文章于 2026-06-23 11:33:27 发布

原创

最新推荐文章于 2026-06-23 11:33:27 发布 · 370 阅读

1. 项目概述：为什么从Pikachu靶场开始学SQL注入？

如果你刚接触Web安全，或者想系统地理解SQL注入这个“老而弥坚”的漏洞，Pikachu靶场绝对是一个完美的起点。它不像一些复杂的综合靶场那样让人望而生畏，而是将各种漏洞类型，尤其是SQL注入，拆解成一个个独立、清晰的关卡。这就像学武功先扎马步、练套路一样，Pikachu提供了最标准的“招式”让你反复练习。我见过很多新手一上来就啃那些复杂的商业漏洞，结果连最基本的注入点都找不到，信心大受打击。而Pikachu的设计初衷就是让你在安全可控的环境里，把注入的原理、手法和流程摸得滚瓜烂熟。

这次我们聚焦的“SQL注入漏洞深度解析与防御指南（上篇）”，核心目标就是利用Pikachu靶场，完成一次从手工探测到自动化利用的完整实战。我们不仅要“打进去”，拿到数据，更要弄明白每一步背后的原理：为什么这里能注入？为什么用 union select 而不是别的？防御代码到底哪里写错了？只有把“攻”的逻辑吃透了，你写代码时才能本能地避开那些坑。所以，无论你是想入门安全测试的开发人员，还是准备面试的安全爱好者，跟着这篇指南，你都能亲手复现漏洞，并建立起一套清晰的SQL注入知识框架。

2. 靶场环境搭建与核心模块解析

工欲善其事，必先利其器。Pikachu靶场的搭建过程非常简单，但这第一步里其实就藏着一些新手容易忽略的细节，这些细节可能会直接影响你后续的实验体验。

2.1 环境部署的两种路径与避坑要点

Pikachu本质上是一个用PHP写的Web应用，所以它需要一个标准的“PHP + 数据库（通常是MySQL）”的运行环境。主流搭建方式有两种：

第一种是集成环境包 ，比如PHPStudy、XAMPP、WAMP。这是我最推荐新手使用的方式，特别是PHPStudy，因为它对中文Windows系统非常友好。你只需要去官网下载PHPStudy的安装包，一路点击下一步完成安装。然后，将下载好的Pikachu源码包解压，整个文件夹复制到PHPStudy的 WWW 目录下。最后，启动PHPStudy，打开其自带的MySQL管理器（或者用Navicat这类工具），创建一个新的数据库，命名为 pikachu ，字符集选择 utf8 或 utf8mb4 。接着，找到Pikachu源码包里的 pikachu.sql 文件，将这个SQL文件导入到你刚创建的 pikachu 数据库中。完成这些后，在浏览器访问 http://127.0.0.1/pikachu （具体路径取决于你把文件夹放在 WWW 下的哪个位置），如果能看到Pikachu的首页，说明环境就绪了。

注意：这里有一个高频踩坑点。很多同学导入 pikachu.sql 后访问首页，会看到数据库连接失败的提示。这十有八九是因为Pikachu配置文件里的数据库密码没改。你需要找到Pikachu目录下的 inc/config.inc.php 文件，用记事本打开，找到类似 define(‘DB_PW’， ‘root’); 这一行。检查这里的密码是否和你本地MySQL数据库的root密码一致。PHPStudy的默认密码经常是 root ，但如果你修改过，就必须同步修改这个配置文件。

第二种是使用预置的虚拟机或Docker镜像 。这对于已经熟悉虚拟化技术，或者想在Linux环境下练习的同学更合适。你可以在一些开源平台找到打包好的Pikachu虚拟机镜像（如.ova格式），直接用VirtualBox或VMware导入即可。Docker方式则更轻量，通常一条 docker run 命令就能启动一个包含Pikachu的完整环境。这种方式省去了配置的麻烦，环境隔离性好，适合快速开始。

2.2 Pikachu SQL注入模块设计逻辑剖析

搭建好环境后，我们重点看Pikachu的SQL注入模块。它没有把所有东西混在一起，而是做了精心的分类，这恰恰是理解注入类型的关键。你会在左侧导航栏看到诸如“数字型注入”、“字符型注入”、“搜索型注入”、“xx型注入”、“insert/update/delete注入”、“宽字节注入”、“盲注”等子模块。

这种分类不是随意的，它对应着Web应用与数据库交互的不同场景和SQL语句的拼接方式。比如，“数字型”和“字符型”是基础，区别在于注入点的参数在后台SQL语句中是被数字引号包裹还是被单引号包裹，这直接决定了你闭合SQL语句的方式。“搜索型”模拟了网站搜索框的场景，其SQL语句中通常包含 LIKE 关键字，注入的闭合方式又有所不同。“insert/update/delete注入”则对应数据写入、修改和删除的操作，这类注入往往不直接回显数据，需要利用时间盲注或报错注入等技术来利用。而“宽字节注入”则是针对特定字符集编码（如GBK）的防御绕过技巧。

Pikachu为每个类型都设计了一个简单的前端界面和一个存在漏洞的后台PHP文件。这种设计让你可以清晰地对照前端输入、后台代码和最终执行的SQL语句，是理解漏洞成因的绝佳教材。在开始手工注入前，我习惯先花几分钟浏览一下这些漏洞页面的前端代码，看看表单的 name 属性，猜一下后台可能会怎么处理这个参数，这能有效训练你的漏洞嗅觉。