1.打开靶场，随便点击一个页面，带参数，猜想sql注入，单引号判断，弹出警告 2.看提示，and也不能用了，先用order by暴字段数，order by 10返回正常，order ...

1.打开靶场，点开唯一的链接，看到这种URL带参数的格式猜想为SQL注入 2.单引号报错，加上注释报错，采用and 1=1返回正常，and 1=2报错，确定为int型注入 ...