原理：就是构造SQL语句，来实现数据库查询的目的。
最最简单的防御代码，往往对于用户的输入不进行检查，就盲目信任用户输入的内容就是他需要的内容。因此，就给了攻击者构造sql查询语句的机会，让服务器返回相应的、攻击者想要的内容。
比如，服务器系统信息，版本型号。白帽子只要做到这步就够了。因为做到这一步，就意味着可以可以构造相关语句，查到用户信息。
例如：
select user(),database(); 查询当前在线用户，以及他们所在的数据库
union all 与union的区别就在于，union all 联合查询到的数据不会消除重合的部分，而union会把重合的部分只留一个。
常见的最简单的现在基本无法注入的代码：
1' union all select user(),database() #
SQLmap的常用命令：
sqlmap -u "目的url" 查询目的地址是否有sql注入点
例如：
sqlmap -u "http://www.baidu.com"
sqlmap -u "目标地址" --cookie="客户端的cookie"
有些网页，只有正确登录了才能看到url地址。因此，扫描一些登陆后才能看到的网页url，只能先获得相应的cookie值才可以。另外，若得到某个用户的cookie，那么就可以欺骗服务器，我就是这个cookie值的主人，然后，访问该主人有权限访问的内容。
但是，上面这个方法有时候会出现302重定向报错。还有另外一种方法。
sqlmap -r /root/桌面/packet.txt -p id
将一个纯净的get或者post请求包完整复制粘贴下来，然后用sqlmap去读取本地的包文本文件。这时候就可以正常的扫描。(-p 后面是加想修改的参数，用来注入测试)
最后，扫描完会报出目标系统的信息。很强！
有时候，网站的防御水平高一点的时候，是会让用户在一个页面输入，然后返回的数据在另一个页面。若是这种情况，那么sqlmap在只扫一个网页的情况下，是无法发现注入点的。
因此，强大的sqlmap还有一个参数，来解决这类问题。
sqlmap -r /root/桌面/1.txt -p id --second-order="数据返回的页面URL"
目的是在进行测试的时候，还监测着另一个接收服务器效果的页面。只有这样才能成功进行测试，否则无法进行。原理我不清楚。
盲注的逻辑梳理
有时候，不管注入成功还是失败，网站不会返回相应的具体的提示信息，比如像什么sql语句错误啊，等等。网站为了安全只返回两种情况，第一，你是真正的用户，你有ID就返回有的信息。没有就返回没有的信息。第二，你是攻击者，你在尝试注入，你注入成功，我也返回没有的信息，你注入失败，我还是返回没有的信息。
那么，问题来了，攻击者该如何知道自己有没有注入成功呢？
经典的sql语句就诞生了：
1' and 1=1 #
1' and 1=2 #
通过正常输入，与这两个语句的尝试，就可以知道是否注入成功了。
假设，攻击者注入成功了（即这里存在注入点），那么，就会执行and 1=1 #这个后面的部分。实际上and 1=1 #是个废话。因为1=1是肯定的。因此，这里返回的结果和真正的用户直接输入1去查询的效果是一样的。
这时候，再输入 1' and 1=2 #那么返回的结果与and 1=1 不同的时候，就表示注入成功了！为什么？因为1=2明显是错误的。我们判断是否注入成功的依据就在于看1'后面的语句是否被执行！
若是1'后面的语句没有执行，那么可能注入成功，
其他的语句：
1' and select substring('user()',1,5)
从user()返回的字符串中的第一个字符位置开始截取，一直往后截取五位长度。5是可选参数，不加默认截取到最后
若是存在注入点，那么即使是手工测试，不用脚本测试，也可以利用二分法的方法结合等于号来测试出用户名是什么。这个思路非常棒！因为这个思路原理不仅仅局限于SQL注入！其他地方也都可以尝试！