墨者学院--手工注入mysql数据库实例

开启墨者靶场环境,发现此界面,在点击登陆下方的通知之后惊奇的看到存在参数id,可以试试通过传递SQL语句获取数据库信息. 我们可以试试1=1和1=2大法,输入在参数id=1后面加入1=1进行逻辑判断 显示正常,然后换1=2,因为1=2为一个假命题,如果能插入到数据库进行逻辑判断,那么由于该语句错误,数据库查询不到任何信息,界面就不会显示任何信息 根据这种情况可以大概的判断出该网站很大可能存在SQL

>>阅读原文<<