【AI专题】AI帮我找到了第一个SQL注入

原创

隐雾安全
隐雾安全

隐雾安全

2026年7月7日 09:00
四川

在小说阅读器读本章

去阅读

我一直觉得SRC是高手玩的东西

直到AI把第一个漏洞放到我的面前

AI陪我挖洞

编者语

最近刚开始接触AI自动挖洞，没挖出来的时候，我一直怀疑它到底能不能发现漏洞。

这次，AI生成了一份SQL注入分析报告。从风险点到复现步骤，都已经整理好了。我几乎没接触过SQL注入，就照着报告一步一步完成了验证，最终确认漏洞成立。

这是我第一次把AI生成的报告，变成了一个真实存在的漏洞。

我一直觉得，SRC离我很远。

以前刷朋友圈的时候，经常能看到别人晒漏洞证书、晒SRC赏金。

我每次都会停下来看看。

然后默默划过去。

因为我一直觉得：

那些都是大佬才能做到的事情。

SQL注入我听过。

越权我也听过。

可如果今天给我一个网站，让我自己开始测试。

说实话。

我连第一步应该点哪里都不知道。

所以，当老师让我试试AI自动漏洞挖掘的时候，我其实没有抱太大希望。

我更想知道的是：

AI到底是真的能找漏洞，还是只是写一份看起来很专业的报告。

师傅说：

\"今天别挖了。\"

\"把skill挂着就行。\"

我当时心里只有一个想法。

真的假的？

我漏洞原理都没整清楚呢？挂着它有啥用？。

我不得练习 抓包、分析、测试嘛？

师傅说

\"睡觉\"

\"剩下的交给AI。\"

第二天早上。

我打开电脑。

第一反应还是准备开Burp。

突然想起来，昨天AI不是跑了一晚上吗？

于是。

我先打开后台。

看看昨天晚上，它又分析出了什么。

说实话，一开始我并不相信AI真的能找漏洞。

聊天、写代码，我觉得它很厉害。

但让它分析业务、找漏洞？

我一直抱着怀疑的态度。

直到今天。

后台静静躺着一份新的分析报告。

标题只有几个字：

SQL Injection

我点开以后发现，这并不是一句简单的\"疑似漏洞\"。

而是一份已经整理好的漏洞分析报告。

风险接口、风险参数、测试思路、Payload建议都已经准备好了。

好嘛，今天不找漏洞了。

今天，验证AI。

AI把目标锁定在了一个很普通的参数

说实话看报告。

除了第一步。

后面的内容，我几乎都不知道为什么。

为什么抓这里？

为什么改这个参数？

为什么不是改别的？

我都不知道。

不过。

AI已经把步骤列出来了。

那我就照着做。

按照AI报告里的步骤。

1、进入目标系统。

2、点击商品列表。

3、继续点击价格排序。

整个过程看起来很普通。

如果没有AI提醒。

我根本不会觉得这里和漏洞有什么关系。

4、随后开始抓包。

GET /app/ewei_shopv2_api.php?i=1&r=goods.get_list&ishot=1&page=1&comefrom=wxapp&openid=sns_wa_oQLDz5AGg6e2p0vqwDGrnSZa4JKQ&mid=&merchid=&authkey=&by=asc&order=minprice×tamp= HTTP/1.1Host: Connection: keep-alivexweb_xhr: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36 MicroMessenger/7.0.20.1781(0x6700143B) NetType/WIFI MiniProgramEnv/Windows WindowsWechat/WMPF WindowsWechat(0x63090b19)XWEB/13487Content-Type: application/jsonAccept: */*Sec-Fetch-Site: cross-siteSec-Fetch-Mode: corsSec-Fetch-Dest: emptyReferer: Accept-Encoding: gzip, deflate, brAccept-Language: zh-CN,zh;q=0.9

请求包看起来很普通。

里面有很多参数。

请求里面几十个参数。

我来来回回看了两遍。

其实什么都没看出来。

不过AI已经提前帮我标记好了重点。

by

报告里的说明只有一句话：

排序参数可能参与SQL语句拼接，建议优先验证。

说实话。

如果让我自己分析。

这个参数我大概率找不到，因为我还不太清楚sql注入漏洞的原理。

接下来，就是验证AI的判断

按照报告里的步骤。

我修改了对应Payload，ai告诉我可以通过这条命令查询数据库的版本。

我第一眼看到的时候。

完全没看懂。

里面一堆单引号。

还有sleep、if这些东西。

我不知道它们是什么意思。

也不知道为什么这样写。

不过。

AI既然让我测试。

那我就先复制进去。

以后再慢慢学。

by=AND+ST_LatFromGeoHash(concat(0x7e,(SELECT+%40%40version)))%2523&

发送请求。

第一次看到返回结果的时候，我还不敢确定是不是成功了。

重新确认了一遍步骤。

再次发送。

数据库版本信息成功返回。

成果查到数据库版本信息漏洞确认成立。

整个过程和AI报告里的分析基本一致。

直到这个时候，我才真正开始相信。

我挖到洞了。

漏洞不是我分析出来的

验证结束以后，我重新看了一遍AI报告。

才有点豁然开朗的感觉。

整个过程中，我真正花时间的地方并不是漏洞测试。

而是理解报告、确认结果。

以前花几个小时找接口、找参数。

现在AI已经提前完成了。

真正需要学习的，是如何判断AI分析是否正确，以及如何完成最后的人工验证。

AI负责：

我觉得，这才是AI自动漏洞挖掘真正的价值。

不是替我挖漏洞。

而是替我节省大量重复分析的时间。

📒 今天的挖洞日志

写在最后

以前我一直觉得，SRC离自己很远。

不是因为不会SQL注入。

而是根本不知道该从哪里开始。

这次AI帮我完成了第一步。

我按照报告完成了验证。

第一次觉得，漏洞挖掘这件事，好像没有以前想象中那么遥远。

今天下班之前，我又重新挂上了新的扫描任务。

不知道明天早上，AI会不会再留给我一份新的漏洞报告。

AI漏洞挖掘训练营

立即扫码