access+asp 手注

（本人小白一枚这是我的第一篇博客，想分享自己的一些学习路程，也希望能够在这里见证我成长的一点一滴。）
首先，在虚拟机搭建好环境。

然后测试是否存在注入点。输入测试语句 and 1=1 and 1=2


and 1=2 这里出现报错，可见这是一个注入点。
and exists (select*from 表名) 如果表名正确则回显正常反之错误。

可见不存在表名admin 继续猜

正确说明存在表名admin_user,然后继续猜字段名 。
and exists ( select 字段名 from admin_user)


如图所见 存在字段 admin，password 。
接下来要猜有多少列 ， 在url后面输入 order by x （x代表自然数）


可见长度为4。然后在进行union查询 ，union select 1,2,3,4 from admin_user

猜出admin，password 的具体长度 然后在与相应的数字对换。

可见爆出管理员账号密码 ，然后你就可以去嘿嘿嘿了。
然后建议大家去熟悉一下sql注入原理 。
http://www.cnblogs.com/rush/archive/2011/12/31/2309203.html