利用sqlmap实战学校靶机

###利用sqlmap实战学校靶机
通过在用户可控参数中注入 SQL 语法，破坏原有 SQL 结构，达到编写程序时意料之外结果的攻击 行为。
产生原因：程序编写者在处理应用程序和数据库交互时，使用字符串拼接的方式构造SQL语句；编写代码时未对用户可控参数进行足够的过滤便将参数内容拼接进入到SQL语句
1、这是我们需要构造语句，使其注入，尝试后面加上“index/narticle.php?nid=3100”，有语句显示，证明注入成功

2、打开sqlmap，开始操作，
将网站丢到sqlmap里面测试能不能注入

3、这里是可以注入的，然后再找数据库

4、找到数据库看到因为是软件学院所以从rjxy，找到表

5、因为是要拿到管理员的密码，所以进入的应该是manager 表，查询manager中的字段

6、找到了username和password，继续查询

7、找到了密码，发现被加了密，用base64解密


8、发现依旧还是密文，再试着用md5解密


9、得到admin用户账号，进入网站的管理系统（robots.txt）

10、成功进入登录页面

靶机实验完成