下載

什麼是 test' AND SLEEP(3)-- | 技術安全分析

By: WEEX|2026/04/16 08:35:30

理解輸入字串

字串 "test' AND SLEEP(3)--" 是 SQL 注入攻擊負載的經典範例。在 2026 年的網路安全領域中，此特定字元序列被安全研究人員和攻擊者用於測試網頁應用程式的資料庫是否容易受到未經授權指令的攻擊。此輸入旨在跳脫標準資料欄位，並強制後端資料庫暫停運作一段特定時間。

解析語法

要了解其運作原理，必須查看字串的每個組成部分。第一部分 test' 旨在關閉 SQL 查詢中的字串常值。大多數網頁應用程式會將使用者輸入包在單引號中。透過添加單引號，攻擊者「跳脫」了預期的輸入區域。接著使用 AND 運算子將新條件附加到現有的資料庫查詢中。最後，結尾的 -- 是 SQL 中的註解符號，它告訴資料庫忽略原始程式查詢的其餘部分，從而防止可能引起系統警覺的語法錯誤。

SLEEP 的作用

SLEEP(3) 函數是一個時間延遲指令。當由 MySQL 資料庫執行時，它會指示伺服器在回傳回應前精確等待三秒。在一個健全且安全的應用程式中，此類輸入應被視為純文字，且對伺服器的處理速度不應產生影響。然而，如果應用程式存在漏洞，伺服器將會暫停。這種延遲對測試系統的人員來說是一種「訊號」，表明他們已成功取得對資料庫引擎的控制權。

盲注 SQL 注入解釋

此特定負載被歸類為「盲注 SQL 注入」(Blind SQL Injection)。與傳統 SQL 注入不同（傳統注入中資料庫可能會直接在螢幕上回傳敏感資料，如密碼或電子郵件），盲注不會提供任何可見資料。攻擊者無法在瀏覽器中看到查詢結果。相反地，他們必須根據伺服器的行為（特別是回應所需的時間）來推斷資訊。

基於時間的推斷技術

基於時間的盲注 SQL 注入完全依賴於時鐘。如果攻擊者發送 SLEEP(3) 指令而頁面立即載入，他們就知道注入失敗。如果頁面載入時間比平常精確多出三秒，他們就知道注入成功。透過使用更複雜的邏輯，例如「如果管理員密碼的第一個字母是 'A'，則執行 SLEEP(3)」，攻擊者可以僅透過觀察回應延遲，逐個字元地緩慢提取整個資料庫。

為何它仍然危險

即使到了 2026 年，由於舊代碼和快速開發週期，這些漏洞依然存在。雖然現代框架通常包含內建保護，但自訂 API 或舊版資料庫整合仍可能將使用者輸入直接串接到 SQL 字串中。由於在初步探測期間不會顯示錯誤訊息，也不會明顯竊取資料，這些漏洞可能會隱藏在僅監控「存取被拒」或「語法錯誤」日誌的標準監控工具之外。

常見資料庫目標

雖然 SLEEP() 函數是 MySQL 和 MariaDB 特有的，但幾乎每個主要資料庫系統都有用於基於時間測試的對等指令。安全專業人員使用這些變體來識別網頁介面後端運行的資料庫類型，而無需直接存取伺服器配置。

資料庫系統	時間延遲指令範例	檢測方法
MySQL / MariaDB	SLEEP(seconds)	回應延遲
PostgreSQL	pg_sleep(seconds)	回應延遲
Microsoft SQL Server	WAITFOR DELAY '0:0:seconds'	回應延遲
Oracle	dbms_pipe.receive_message	回應延遲

-- 價格

防止注入攻擊

防止這些攻擊最有效的方法是永遠不要信任使用者輸入。開發人員應使用參數化查詢，也稱為預備語句 (prepared statements)。此技術確保資料庫將整個輸入（包括引號和 SLEEP 指令）視為單一、無害的文字字串，而不是可執行指令。當系統受到適當保護時，在登入框中輸入 "test' AND SLEEP(3)--" 只會導致「找不到使用者」訊息，且伺服器回應零延遲。

輸入驗證與消毒

除了預備語句外，強健的應用程式會採用嚴格的輸入驗證。這涉及檢查資料是否符合預期格式。例如，如果欄位是用於使用者名稱，系統應拒絕任何包含單引號、分號或破折號等字元的輸入。消毒 (Sanitization) 更進一步，透過「跳脫」危險字元，將單引號轉換為資料庫無法作為程式碼執行的字面字元。

最小權限原則

另一層防禦是最小權限原則。網頁應用程式使用的資料庫帳戶應僅具備執行其工作所需的權限。它不應擁有執行管理指令或存取系統級功能的權限。如果網頁使用者沒有呼叫 SLEEP() 函數的權限，即使代碼在技術上容易受到注入攻擊，攻擊也會失敗。

現代系統中的安全性

隨著我們進入 2026 年，將自動化安全掃描整合到開發流程中已成為標準。工具現在會在建置階段自動使用類似 "test' AND SLEEP(3)--" 的負載測試每個輸入欄位。這種主動方法有助於在代碼部署到即時環境之前識別漏洞。對於參與數位資產管理或線上交易的人員來說，確保所使用的平台經過嚴格的滲透測試對於保護敏感財務資料至關重要。

例如，尋找數位資產安全環境的使用者通常偏好優先考慮後端安全性的平台。您可以造訪 WEEX 註冊頁面探索安全交易選項，了解現代平台如何處理使用者資料與安全性。在資料庫管理中保持高標準不僅是技術要求，更是當前數位經濟中使用者信任的基礎要素。

檢測主動探測

系統管理員可以透過監控伺服器回應時間的異常模式來檢測這些攻擊。如果特定的 IP 位址持續觸發比平均時間精確多出 3、5 或 10 秒的回應請求，這就是基於時間的盲注 SQL 注入嘗試的強烈指標。網頁應用程式防火牆 (WAF) 透過識別 URL 參數或表單提交中 AND、SLEEP 和註解 -- 等 SQL 關鍵字的特徵，在阻擋這些負載方面也非常有效。