接上一篇，DVWA练习web安全。（借鉴文章，写总结东西）_dvwa中的常见web漏洞研究与防御学习心得-优快云博客

首先这次要使用一款工具：burp 菜刀。（先说一下，我在网上去下载菜刀，然后使用的时候win疯狂报错，然后我用安全软件去扫描了菜刀文件夹。我淦，真有毒。建议你们下载的时候也去看看这篇文章：https://blog.youkuaiyun.com/yalecaltech/article/details/86476073）记住在使用网络安全软件时一点要留心眼，是否有黑吃黑。

数据库注入，xss，文件上传漏洞。

数据库注入漏洞，原理：SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。重点在sql命令的熟练，页面表单是否存在注入点。判断是否存在注入点，首先特在在于地址栏最后会出现xxxx/?id=x。就是请求特定的资源。

实际中使用xxxx/?id=x and1 = 1 或者xxxx/?id=x or 1 = 1 进行判断是否存在注入点。

回到DVWA（练习场肯定有注入点无需判断），调整好难度（low）。然后进入练习靶场。首先随便输入一个数字，例如：1。页面会返回1字段对应的用户名。接着使用 1' 判断服务器使用什么接收提交的字段。

// Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";

上面的代码显示的是user_id='$id' 当然我们这个是知道使用单引号。于是就有这篇文章：https://blog.youkuaiyun.com/weixin_42045038/article/details/82766461。

不过不知道你们有没有在执行1‘ union select table_name,table_schema from information_schema.tables where table_schema= 'dvwa';# 这条语句的时候会报 Illegal mix of collations for operation 'UNION' 这个错误。反正我报了，于是开始了程序员日常修理bug时间，淦！

下次说，解决报错呢。