“有本事你去学校数据库把期末成绩改了“，“好

输入 ?id=2，页面返回id为2的用户名（Angelina）和密码（I-kill-you）：

正常情况下，页面只能返回用户信息，不能返回其他信息。

接下来，我们在地址栏输入联合注入的payload：

?id=0’ union select 1,version(),@@datadir – a

页面返回的数据不再是用户名和密码，而是返回了数据库的版本和安装路径：

这违背了网站原本的用意，除了数据库信息以外，我们可以利用联合注入，让页面返回数据库中的所有数据（理论上）。

看到这里，相信你已经对联合注入有了初步的了解，接下来，我会一步一步的为大家讲解，联合注入究竟是怎么查询到这些数据的。

二、执行原理

========================================================================

1. 后台逻辑分析

---

测试网站的功能很简单：根据id查询用户名和名：

执行流程分为三步：

1. 用户输入参数（用户id）

2. 后台执行SQL（查询用户信息）

3. 查询结果在前端回显

知道网站的功能逻辑后，我们来了解一下联合注入的核心：union 关键字

2. 巧用联合查询

---

MySQL提供了 union 关键字，连接多个查询语句，并将查询结果合并，即联合查询。

我们尝试在查询用户信息（id=1）时，使用 union 关键字，连接另外一个查询语句，在地址栏中输入： ?id=1' union select 1,version(),@@datadir -- a。

程序的执行逻辑如下：

仔细观察一下就会发现，我们已经查询到了其他数据，但页面只能展示第一条数据：

想让页面展示第二条数据，可以使用分页，但这里我们使用另外一种方式：空查询。

提示1：如果不了解联合查询可以查看下面这张流程图，如果看不懂可以自己尝试编写SQL并观察执行结果。

提示2：select 1,version(),@@datadir;是MySQL查询语句的一种特殊形式，里面用到了两个函数：

• version()：返回数据库版本

• @@datadir：返回数据库安装路径

如果你不理解这个查询语句的格式，可以在自己的数据库中执行以下几个SQL，并观察结果：

select database();

select 1;

select 1,2,3;

select 1,database(),version();

3. 空查询

---

正常的用户id都是从1开始自增的，如果查询的id为0或者是负数，一定是空查询。

在地址栏输入：?id=0' union select 1,version(),@@datadir -- a

程序的执行逻辑如下：

除此之外，我们可以将 union 右侧的查询语句替换成其他内容，以获取数据库中的所有信息。

以上便是联合查询的基本原理，接下来，我们在实战案例中使用一下联合注入。

三、实战教程

========================================================================

还是上面的测试网站（SQLi Labs靶场的第一关），先来测试注入点。

地址栏输入 ?id=1' and 1 -- a，页面正常显示：

地址栏输入 ?id=1' and 0 -- a，页面异常（空）显示：

确定注入点：单引号字符型注入。

接下来，开始使用联合注入，地址栏输入以下payload：

?id=0’ union select 1,2 – a

页面报错了……字段数不同

MySQL规定，union 关键字连接的两个查询语句，查询的字段数必须保持一致。

这就意味着，我们在使用联合注入之前，必须先要判断网站的查询语句，查询了几个字段，这里，我们使用 order by 来判断查询的字段数。

order by 关键字可以按照指定字段排序，如果排序的字段不存在，则会报错。

利用这一特性，我们可以从第一个字段开始排序，然后是第二个、第三个……，当页面出现报错时，就可以判断出网站的查询字段数。

先按照第一个字段排序，地址栏输入 ?id=1' order by 1 -- a

再按照第二个字段排序，地址栏输入 ?id=1' order by 2 -- a

再按照第三个字段排序，地址栏输入 ?id=1' order by 3 -- a

再按照第四个字段排序，地址栏输入 ?id=1' order by 4 -- a

第四个字段排序时开始报错，可以确认第四个字段不存在，网站查询语句的查询字段有只有三个。

字段确定以后，我们就可以使用联合查询了，地址栏输入以下payload：

?id=0’ union select 1,2,3 – a

从页面的响应我们可以看到，2和3的位置可以显示出来，1的位置没有显示出来，因此，我们可以在2或者3的位置返回查询结果。

我们将 2 的位置换成一个函数（获取当前使用的数据库），在地址栏输入以下payload：

一、Python所有方向的学习路线

Python所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照下面的知识点去找对应的学习资源，保证自己学得较为全面。

二、Python必备开发工具

工具都帮大家整理好了，安装就可直接上手！

三、最新Python学习笔记

当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。

四、Python视频合集

观看全面零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。

五、实战案例

纸上得来终觉浅，要学会跟着视频一起敲，要动手实操，才能将自己的所学运用到实际当中去，这时候可以搞点实战案例来学习。

六、面试宝典

简历模板

小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数初中级Python工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Python爬虫全套学习资料》送给大家，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频

如果你觉得这些内容对你有帮助，可以添加下面V无偿领取！（备注：python）

n工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

因此收集整理了一份《2024年Python爬虫全套学习资料》送给大家，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频

如果你觉得这些内容对你有帮助，可以添加下面V无偿领取！（备注：python）
[外链图片转存中…(img-z8uedzns-1710882411315)]