q998940091的博客

原创 sql注入练习

对grade网站进行漏洞探测，爆出任意表的账号密码。 基本信息： 网站截图 1.对grade网站进行漏洞探测，爆出任意表的账号密码。 在查询学号处 1） 猜测的用户admin，查询学号成功 2）输入 admin and 1=1，发现能够正确执行没有报错，但没有查出学号，说明可能是字符型注入 admin and 1=1 3）输入admin’ and 1=1 – - ，执行成功，且查出学号，确定是字符型注入 admin' and 1=1 -- - 4）order by 判断显示字段数 admin’