[GXYCTF2019]BabySQli1

打开题目

猜测是sql注入漏洞，试一下万能密码

说不要攻击他

f12查看源码看一下

base32解密

再一次进行base64解密，得到sql语句

echo "c2VsZWN0ICogZnJvbSB1c2VyIHdoZXJlIHVzZXJuYW1lID0gJyRuYW1lJw==" | base64 -d

用union联合注入，不知道是不是hackbar的问题，说我的sql语法有错，用bp抓包，修改就没问题（百思不得其解）。202cb962ac59075b964b07152d234b70这个是123通过MD5解密而来的数据。要注意 name=1’不能写成=admin’ 这样会查询到两个admin账户，要使只有我们现在查询的admin，只能union前面查询的数据没有显示才行。
name=1' union select 1,'admin','202cb962ac59075b964b07152d234b70'#&pw=123

得到flag