WooYun.org

泛华核心业务系统
http://cbs.cninsure.net/logon/Login.jsp
用户编码栏输入单引号抓包报错

但是直接丢给sqlmap却一直无法识别注入点（bool型，报错型均未识别出）
经过手动测试发现，bool型无法识别是因为原语句条件真假返回的数据都相同：

1）构造bool注入
继续测试发现支持union，字段数为4，但是union查到的数据没法直接回显，通过构造sql条件语句，可以构造出一个bool注入。如下图，改变条件真假，回显不同。

但是设置了prefix和suffix之后sqlmap还是无法识别注入点（sqlmap你肿么了？），于是换一个工具，用了shack2的超级sql注入工具，设置如下：

这样，便可以提取数据了，但是bool型速度很慢，既然报错有回显可以尝试报错注入
2）报错注入构造
依然使用shack2的超级sql注入工具，设置两处如下：

（or后面需要有一个空格，不要问我为什么，这是一个bug...@shack2）
把and替换成or是因为，使用and无法报错：

设置完后，就可以利用报错注入快速提取数据了