偶遇一棋牌网站简单的抓包分析一下用户名后边加单引号直接报错了，闭合之后又正常了，稳稳地sql注入一枚。通过测试没有发现任何安全设备，直接上sqlmap。过程就不啰嗦了，直接得到下边数据current-...