数字型，字符型POST注入

实验步骤

本实验的目标是:以SQLi-Labs网站的Less-11为入口，利用联合查询(union

select)的方式实施SQL注入,获取 SQLi-Labs 网站的登录用户名和密码。

1．访问SQLi-Labs网站

在攻击机Pentest-Atk打开FireFox浏览器，并访问靶机A-SQLi-Labs 上的SQLi-Labs 网站Less-11。访问的URL为:

http://[靶机IP]/sqli-labs/Less-11/

2．利用Burpsuite 工具抓包

(1）启动Burpsuite

(2）设置Burpsuite 的代理服务端口

在 Burpsuite 软件界面上选择选项卡“Proxy"->"Options"，在 Proxy Listeners模块下，将Burpsuite 的代理服务端口设置为8080(此为Burpsuite 默认的服务端口）。

(3）开后Burpsuite的代理拦截功能

在 Burpsuite 软件界面上选择选项卡“Proxy" ->"Intercept"，将拦截开关按钮的状

态设置为"Intercept is on”。