mysql無逗號的注入技巧

http://wonderkun.cc/index.html/?p=442 在一個 ctf比賽中，遇到這樣一個注入題： 用戶的ip可以用x-forwarded-for來僞造，然後把ip存儲到數據庫中去，對ip沒有進行任何過濾，存在注入，但是有一個限制就是:  用‘,’逗號對ip地址進行分割，僅僅取逗號前面的第一部分內容。 然後：沒有報錯，沒有回顯，沒有bool，只有延時。 送一個字，坑。。。。。

>>阅读原文<<