我正在阅读 SQL-Server 中的 SQL-Injection ，我看到了一种技术，该技术可以通过错误显示来自数据库的任何信息。 >
假设这是易受攻击的站点：
www.victim.com/showproducts.aspx?category=bikes
当我将此代码放在参数值之后时：
www.victim.com/showproducts.aspx?category=bikes AND 1=0/username
这将显示一个错误，告诉我它可以通过int和string执行/并从用户名列中获取数据。
Conversion failed when converting the varchar value 'admin' to data type int
它向我显示列用户名中的第一个数据，等等： admin 当我尝试获取另一个用户名时，我通过以下方式排除了拳头值“ admin”：
www.victim.com/showproducts.aspx?category=bikes AND username not in ('admin') AND 1=0/usernaame;
，但是它仍然获得第一个值“ admin”。为什么呢？以及如何从这项技术中获取下一个值...