就是通过把sql命令插入到web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行的sql命令的目的。
基于联合查询
基于错误回显
基于盲注，分时间盲注和布尔型的盲注
基于user-agent
基于feferer
基于cookie
二次注入
宽字节注入
注入一个网站时，我们先要找出后台构造的查询语句，然后判断是否存在注入点。
常规的找出查询语句的方法是在后面加’ 、 “ 、 ‘) 、 “),看是否报错，然后用and 1=1和and 1=2判断是否存在注入点，然后根据情况用不同的方法注入。
通过执行等同于将一个表追加到另一个表的操作来组合两个表的查询
首先来了解下mysql的系统函数
然后再来了解下union
union 用于合并两个或多个 select 语句的结果集，并消去表中任何重复行。
union 内部的 select 语句必须拥有相同数量的列，列也必须拥有相似的数据类型。同时，每条 select 语句中的列的顺序必须相同.默认地，union 操作符选取不同的值。如果允许重复的值，请使用 union all。当 all 随 union 一起使用时（即 union all），不消除重复行。
order by 用于对结果集进行排序。
mysql 5.0版本以后提供了information.schema表，表中记录了数据库中所有的库、表、列等信息
理解schema,schemata,schema_name,table_schema（这是我学习过程中最混淆的地方，可以对照phpmyadmin学习）
schemata表:储存mysql所有数据库的基本信息，包括数据库名，编码类型路径等，show databases的结果取之此表。（其中包含一列schema_name，即数据库名，不同于schema，schema_name只是单纯的数据库名）
tables表:储存mysql中的表信息，（当然也有数据库名这一列，这样才能找到哪个数据库有哪些表）包括这个表是基本表还是系统表，数据库的引擎是什么，表有多少行，创建时间，最后更新时间等。show tables from schemaname的结果取之此表（其中包含table_schema，表中的对应的库名信息，table_name同样不同于tables，只是单纯的表名）
columns表：提供了表中的列信息，（当然也有数据库名和表名称这两列）详细表述了某张表的所有列以及每个列的信息，包括该列是那个表中的第几列，列的数据类型，列的编码类型，列的权限，注释等。是show columns from schemaname.tablename的结果取之此表（其中包含table_schema，表中对应的库名信息，table_nama表字段对应的表名，columns_name字段对应的字段名）
找到注入点后，我们用order by语句查询数据库中存在多少数据表
确定多少个表，为了便于说明，假设有三个数据表，
下面我们就要查询敏感信息了，就要用到上面所说的系统函数了。
我们假设其中有flag库
基于错误回显的sql注入就是通过sql语句的矛盾性来使数据被回显到页面上
所用到的函数
我们先将上面的整合下，
select count(*),concat(0x3a,0x3a,database(),0x3a,floor(rand()*2))name from information_schema.tables group by name;先生成随机数，并取证，然后用分号将不同的数据拼接，并取别名name，最后将结果以name进行分组并进行统计，能看到统计出的两个不同的取值，0和1。
再进行多次重复，看一下关于rand()函数与group by 在mysql中的错误报告，我们就是要利用group by part of rand() returns duplicate key error这个bug。
在不知道数据库具体返回值的情况下对数据库中的内容进行猜解，实施sql注入，一般分为基于布尔和基于时间类型的盲注。
返回的界面只有两种情况，即true和false，这样说并不是很准确，因为sql查询无非就这两种情况，应该说是盲注的时候你只能得到一个正常的页面或者是什么页面的不存在，甚至你在查询表的记录过程也不会有显示。
首先了解几个函数
这样我们就一步一步的爆出数据库的信息了
web页面的返回值只有一种，true，无论输入任何值，它的返回都会按正确的来处理。加入特定的时间函数，通过查看是web页面返回的时间差来判断注入的语句是否正确
sleep()函数
执行将程序（进程）挂起一段时间
if（expr1，ecpr2，expr3）判断语句
用户代理（user agent）是记录软件程序的客户端信息的http头字段，他可以用来统计目标和违规协议。在http头中应该包含它，这个字段的第一个空格前面是软件的产品名称，后面有一个可选的斜杠和版本号。
并不是所有的应用程序都会被获取到user-agent信息，但是有些应用程序利用它存储一些信息（如：购物车）。
http查询实例：
get /index.php http/1.1
host: [host]
user-agent: aaa’ or 1/*
我们将火狐设置为本地代理，然后用brup suite抓包。
然后将包发送到repeater
在user-agent修改为’,2,(select 1 from (select count(*),concat(0x3a,0x3a,(select schema_name from information_schema.schemata limit 2,1),0x3a,0x3a,floor(rand()*2))name from information_schema.tables group by name)a) )#
就爆出了数据库的库名flag了，这是sqli-labs第十八关的测试结果，构造爆出表列的语句和基于错误回显的语句一样，这里就不多做说明了。
http referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上referer，告诉服务器我是从哪个页面链接过来的，服务器以此可以获得一些信息用于处理
以下测试基于sqli-labs第十九关的测试结果
在referer中输入',(select 1 from (select count(*),concat(0x3a,0x3a,(select schema_name from information_schema.schemata limit 2,1),0x3a,0x3a,floor(rand()*2))name from information_schema.tables group by name)a) )# 爆出数据库名为flag，其他注入语句和上雷同。
cookie（存储在用户本地终端上的数据）有服务器生成，发给user-agent（一般是浏览器），浏览器会把cookie的key/value保存到某个目录下的文本文件内，下次请求同一网站时就会发送还cookie给服务器（前提是浏览器设置为启用cookie）。cookie名称和值可以有服务器端开发自己定义，对于jsp而言也可以直接写入jessionid，这样服务器可以知道该用户是否合法用户以及是否需要重新登录等，服务器keyhi设置或读取cookie中包含信息，借此维护用户跟服务器会话中的状态。
火狐中插件friebug对其修改，或用burp suite抓包修改。
以下测试结果基于sqli-labs 第二十关
在cookie中加单引号测试报错，证明存在注入。然后在cookie中输入'and (select 1 from (select count(*),concat(0x3a,0x3a,(select schema_name from information_schema.schemata limit 2,1),0x3a,0x3a,floor(rand()*2))name from information_schema.tables group by name)a) # 同样爆出的库名flag。
对于get和post的区别：
当然，上面所说的全是在裸机的情况下的结果，在正常情况下，会有些防护措施。下面介绍些绕过的方法。
1. base64编码
base64编码的思想是采用64个基本的ascii码字符对数据进行重新编码。它将需要编码的数据拆分字节数组。以3个字节为一组，按顺序排列24位数据，再把24位数据分成4组，即每组6位，再在每组的最高位前补两个0凑足一个字节，这样把一个3字节为一组的数据重新编码成4个字节。当所要编码的数据的字节不是3的整数倍，这时，在最后一组填充1到2个0字节。并在最后编码完成后在结尾添加1到2个”=“。
关于这个编码的规则：
①.把3个字符变成4个字符。
②每76个字符加一个换行符。
③.最后的结束符也要处理。
在火狐的插件heckbar中有此功能
and ——&&
or —— ||
空格被过滤
可以使用”%09 %0a %0c %0d %0b”替代，也可以用or和and语句来构造到达闭合语句的效果。
union select 过滤
使用大小写绕过，如union，select
多次重复，如ununionion，selselectect
在union select 联合使用被过滤的情况，union all select
php get 获取参数时有一个特性，当某个参数被多次赋值时会保留最后一次被赋值时的值。如id=1&id=&2&id=3这时，程序会返回id=3的值，但waf只对第一次的id进行测试，如果传入多个id，那么后面的id则存在注入漏洞
输入id=1&id=&2&id=3‘就会出现报错
1. 二次注入
注入过程分为两个部分，语句插入和语句执行。常规的注入中都是将sql语句插入后即可显示效果，出错或者得出注入结果，而二次注入的第一步不会产生任何反应，因为它只是一个语句的插入，并没有执行，在第二步运行时才能执行第一步插入的语句并显示结果。而这两个点可能不在同一位置。
此时修改密码，单引号闭合语句，井号注释后面的语句，修改的就不是admin’#的密码了，而是admin的密码。
2. 宽字节注入
gb2312 , gbk , gb18030 , big5 , shift_jis 等这些都是常说的宽字节（两个字节），ascii就是单字节（一个字节）
gbk编码，他的范围是0x8410~0xfefe（不包括xx7f）ascii编码，他的编码范围是ascii（0）~ascii（127），另外有一个扩展ascii打印字符，他的范围是ascii（128）~ascii（255）
3. addslashes()函数
在每个字符前添加反斜杠：\
my_sql_real_escape_string()
my_sql_real_escape_string()函数转义sql语句中使用的字符串中的特殊符：\x00 , \n , \r , \ , ' , " , 、x1a
id=1,我们在后面家单引号，双引号都返回正常，因为被添加反斜杠或转义了，此时我们可以在测试字符前加%bf
id=1%bf’就会报错了，至于原因，阐述起来比较麻烦，各位同学去谷歌或者百度下吧
参考