1、打开靶机，出现用户名以及密码登录界面；

2、使用弱口令进行登录，即username=admin，password=123456，没啥变化；

3、看到题目中有SQL语句，说明这道题应该是一个SQL注入的题目；

4、判断注入类型是数字型注入还是字符型注入，数字型注入可以用经典的and 1=1 and 1=2来判断，字符型注入可以用经典的and ‘1’='1 和 and ‘1’='2来进行判断，发现无法知道是哪个注入；

5、直接用万能密码注入，即

username=1' or '1'='1和password=1' or '1'='1来进行注入,发现注入成功，得到了flag。

为shellmates{SQLi_goeS_BrrRrRR}