Sqli labs less 36

1.输入常规参数进行测试 ？id=1’，发现下方提示中，单引号被注释掉，因此本less依旧可以使用宽字节 %df和%5C来爆数据库

 

 2.?id=1%df'和?id=1%df'--+

 

 

 

 把后面的内容注释掉，网页返回正常信息，说明此处使用单引号闭合

3.爆出用户名密码