0x00

打开网页如下

进行测试，发现有三种返回结果分别为：

• 空
• Nonono.
• 返回数组结果

经过测试，还发现大多数的数组可以返回结果，字母返回为空，带有数据库查询关键字的返回 Nonono.
据我猜测，返回为空的应该是sql语句没有查询到结果
返回为 Nonono.的应该是存在过滤条件
还发现存在堆叠注入，通过如下payload查询到了表

1;show tables;#

flag就存在Flag表中，再用如下payload进行查询：

1;show columns from `Flag`;#

结果发现里面存在被过滤的关键字，然后我就不知道该怎么弄了，只好查询WP
结果发现这道题也太坑了，不看WP完全想不到的方向。。。

0x01

看完源码，知道了后台的sql语句如下：

select ?||flag from Flag
## ?为输入的关键字

这需要知道一些数据库中的一些知识：
在oracle中 || 默认为连接符，在MySQL中默认为逻辑或，如果想变成连接符需要sql语句设置(set sql_mode=PIPES_AS_CONCAT)
连接符指的是查询结果进行连接
所以这道题会有两种解：
官方解：

1;set sql_mode=PIPES_AS_CONCAT;select 1

其他解：

*,1
## select *,1||flag from Flag
## 逻辑运算后变成了 
## select *,1 from Flag