SQL注入中利用order by子句进行盲注，是一种在无法直接获取查询结果时，通过观察页面排序变化来推断数据库信息的攻击技巧。当网站存在SQL注入漏洞且注入点位于order by参数时，攻击者可以构造特定的payload，通过二分法或时间延迟等方式，逐字符猜解数据库名、表名、字段名或具体数据。例如，原始URL为http://example.com/products?sort=price，攻击者可能将参数改为sort=(case when (select substring(database(),1,1))='a' then price else name end)，如果页面按price字段排序，则说明数据库名的第一个字符是'a'，否则按name排序，从而进行盲注推断。

一、order by子句注入的基本原理与利用场景

order by子句用于对查询结果进行排序，通常接收列名或列索引作为参数。当网站未对用户输入的排序参数进行严格过滤时，就可能存在注入漏洞。例如，后端SQL查询可能形如SELECT * FROM products ORDER BY $_GET['sort']，攻击者可以注入任意SQL代码。利用场景主要包括：

(1)电子商务网站的商品排序功能；

(2)内容管理系统的列表排序；

(3)数据分析平台的报表排序。这种注入属于盲注，因为查询结果本身不直接返回数据，而是通过排序行为的变化来传递信息。

二、基于布尔盲注的order by注入技巧

布尔盲注依赖于页面排序结果的差异来判断条件真假。攻击者通过构造case when语句，将条件判断与排序逻辑绑定。例如，payload：sort=(case when (select ascii(substring(table_name,1,1)) from information_schema.tables limit 1)=65 then price else name end)。如果页面按price排序，说明第一个表名的首字符ASCII码为65（即'A'）；如果按name排序，则说明不是。通过遍历字符和位置，可以逐步猜解出完整信息。关键步骤包括：确定注入点、构造条件表达式、观察排序变化、使用二分法提高效率。

示例利用代码（假设注入点为sort参数）：
1. 猜解数据库名长度：
   ?sort=(case when (length(database())=8) then price else name end)
2. 猜解数据库名首字符：
   ?sort=(case when (ascii(substring(database(),1,1))=100) then price else name end)
3. 猜解表名：
   ?sort=(case when (ascii(substring((select table_name from information_schema.tables where table_schema=database() limit 1),1,1))=117) then price else name end)

三、基于时间盲注的order by注入技巧

当页面排序变化不明显时，可以采用时间盲注。通过注入sleep函数，根据页面响应延迟判断条件是否成立。例如，payload：sort=(case when (select ascii(substring(database(),1,1))=100) then sleep(5) else price end)。如果页面响应延迟5秒，说明数据库名首字符为'd'；否则立即返回按price排序的结果。时间盲注更隐蔽，但需要多次请求，效率较低。通常结合二分法优化，例如判断字符ASCII码是否大于某值，减少猜解次数。

时间盲注示例：
?sort=(case when (select ascii(substring(user(),1,1))>100) then sleep(3) else id end)
-- 如果响应延迟3秒，说明user()首字符ASCII码大于100；否则按id排序。

四、高级利用技巧：联合查询与错误注入

在特定情况下，order by注入可与联合查询结合。例如，注入sort=1 union select 1,2,3，可能使页面显示联合查询结果。但需注意列数匹配问题。此外，利用数据库错误信息也可进行推断，例如在MySQL中注入sort=exp(~(select*from(select user())x))，可能触发错误并泄露信息。这些方法需要根据数据库类型灵活调整，适用于更复杂的渗透测试场景。

五、常见数据库的payload差异与绕过技巧

不同数据库的order by注入payload有所不同。MySQL支持case when和sleep函数；PostgreSQL可使用case when和pg_sleep；Oracle则用decode或case语句。例如，Oracle中的payload：sort=(decode(substr((select user from dual),1,1),'A',price,name))。绕过技巧包括：

(1)使用注释符如--或/*干扰过滤；

(2)编码转换如URL编码或十六进制；

(3)利用数据库特性函数，如MySQL的if函数替代case when。实际攻击中需根据WAF规则动态调整payload。

六、防御order by注入的最佳实践

有效防御order by注入需多层面措施：

(1)输入验证：只允许预定义的排序字段（如白名单机制），拒绝任何用户输入的SQL片段；

(2)参数化查询：使用预编译语句，将排序参数作为变量而非代码执行；

(3)最小权限原则：数据库账户仅授予必要权限，避免使用高权限账户执行查询；

(4)错误处理：自定义错误页面，避免数据库错误信息泄露；

(5)安全测试：定期进行渗透测试和代码审计，使用自动化工具扫描漏洞。例如，在PHP中可这样实现白名单：

$allowed_sort = array('price', 'name', 'date');
$sort = in_array($_GET['sort'], $allowed_sort) ? $_GET['sort'] : 'id';
$query = "SELECT * FROM products ORDER BY $sort";

七、实际案例分析：从注入到数据泄露

以一个在线商店为例，商品列表页URL为http://shop.com/items?order=price。攻击者首先测试注入点，尝试order=price asc, sleep(5)--，发现页面延迟响应，确认存在时间盲注。随后使用自动化工具如sqlmap，或手动构造payload，逐步猜解出数据库名为shop_db，表名为users，最终获取管理员账户密码哈希值。整个过程可能耗时数小时，但完全隐蔽。此案例凸显了order by注入的危害性，即使不直接显示数据，也能导致严重信息泄露。

八、工具辅助与自动化利用

手动进行order by盲注效率低下，通常借助工具如sqlmap。命令示例：sqlmap -u "http://example.com/products?sort=price" --technique=T --dbms=mysql，其中--technique=T指定基于时间的盲注。sqlmap会自动识别注入点并提取数据。此外，可编写自定义脚本，结合二分法算法加速猜解。例如，Python脚本可发送HTTP请求，根据响应时间或排序变化推断字符值，实现半自动化利用。但需注意，自动化工具可能触发WAF警报，应谨慎使用。

总结来说，order by子句盲注是一种巧妙且危险的SQL注入技术，它利用排序逻辑作为信息传递通道。攻击者通过布尔或时间盲注，能逐步提取整个数据库内容。防御关键在于严格输入验证和参数化查询。对于开发人员，应始终将用户输入视为不可信数据；对于安全人员，则需在测试中全面覆盖排序功能漏洞。只有深入理解攻击原理，才能构建更坚固的防护体系。