sql注入报错之注入原理实例解析


Posted in MySQL onJune 10, 2022

前言

我相信很多小伙伴在玩sql注入报错注入时都会有一个疑问,为什么这么写就会报错?曾经我去查询的时候,也没有找到满意的答案,时隔几个月终于找到搞清楚原理,特此记录,也希望后来的小伙伴能够少走弯路

0x01

我们先来看一看现象,我这里有一个users表,里面有五条数据:

sql注入报错之注入原理实例解析

然后用我们的报错语句查询一下:

select count(*),(concat(floor(rand()*2),(select version())))x from users group by x

sql注入报错之注入原理实例解析

成功爆出了数据库的版本号。

要理解这个错误产生的原因,我们首先要知道group by语句都做了什么。我们用一个studetn表来看一下:

sql注入报错之注入原理实例解析

现在我们通过年龄对这个表中的数据进行下分组:

sql注入报错之注入原理实例解析

形成了一个新的表是吧?你其实应该能够想到group by 语句的执行流程了吧?最开始我们看到的这张sage-count()表应该时空的,但是在group by语句执行过程中,一行一行的去扫描原始表的sage字段,如果sage在sage-count()不存在,那么就将他插入,并置count()置1,如果sage在sage-count()表中已经存在,那么就在原来的count(*)基础上加1,就这样直到扫描完整个表,就得到我们看到的这个表了。

注:这里有特别重要的一点,group by后面的字段时虚拟表的主键,也就是说它是不能重复的,这是后面报错成功的关键点,其实前面的报错语句我们已经可以窥见点端倪了

sql注入报错之注入原理实例解析

0x02

正如我前面所说的,报错的主要原因时虚拟表的主键重复了,那么我们就来看一下它到底是在哪里,什么时候重复的。这里rand()函数就登场了。
首先我们先来了解rand()函数的用法:

1.用来生成一个0~1的数

2.还可以给rand函数传一个参数作为rand()的种子,然后rand函数会依据这个种子进行随机生成。

那他们的区别是什么呢?我们来看一下,这两个语句的执行效果:

sql注入报错之注入原理实例解析

可以看到rand()生成的数据毫无规律,而rand(0)生成的数据则有规律可循,是:
0110 0110

注:如果你觉得数据不够,证明不了rand()的随机性,你可以自己多插入几条数据再查询试一下。

0x03

现在我们弄清楚了group by语句的工作流程,以及rand()与rand(0)的区别,那么接下来就是重点了,mysql官方说,在执行group by语句的时候,group by语句后面的字段会被运算两次。

**第一次:**我们之前不是说了会把group by后面的字段值拿到虚拟表中去对比吗,在对比之前肯定要知道group by后面字段的值,所以第一次的运算就发生在这里。

**第二次:**现在假设我们下一次扫描的字段的值没有在虚拟表中出现,也就是group by后面的字段的值在虚拟表中还不存在,那么我们就需要把它插入到虚拟表中,这里在插入时会进行第二次运算,由于rand函数存在一定的随机性,所以第二次运算的结果可能与第一次运算的结果不一致,但是这个运算的结果可能在虚拟表中已经存在了,那么这时的插入必然导致错误!

所以我们现在通过一个例子来验证我们的理论,拿出我们最开始的例子:

select count(*),(concat(floor(rand(0)*2),'@',(select version())))x from users group by x

声明:users表就是本文第一个表,表中有五条数据

注意我这里用的是rand(0),不是rand(),rand(0)生成的有规律的序列:

sql注入报错之注入原理实例解析

我们跟着刚刚的思路走,最开始的虚拟表是空的,就像下面一样:

count(*) x
   

当我扫描原始表的第一项时,第一次计算,floor(rand(0)*2)是0,然后和数据库的版本号(假设就是5.7.19)拼接,到虚拟表里去寻找x有没有x的值是x@5.7.19的数据项,结果显然是没有,那么接下来就将它插入到上表中,但是还记得吗,在插入之前会进行第二次计算,这时x的值就变成了1@5.7.19,所以虚拟表变成了下面这样:

count(*) x
1 1@5.7.19

现在扫描原始表的第二项,第一次计算x==’1@5.7.19‘,已经存在,不需要进行第二次计算,直接插入,得到下表:

count(*) x
2 1@5.7.19

扫描原始表的第三项,第一次计算x==‘0@5.7.19’,虚拟表中找不到,那么进行第二次计算,这时x==‘1@5.7.19’,然后插入,但是插入的时候问题就发生了,虚拟表中已经存在以1@5.7.19为主键的数据项了,插入失败,然后就报错了!

上面是使用rand(0)的情况,rand(0)是比较稳定的,所以每次执行都可以报错,但是如果使用rand()的话,因为它生成的序列是随机的嘛,所以并不是每次执行都会报错,下面是我的测试结果:

sql注入报错之注入原理实例解析

执行了五次,报错两次,所以是看运气。

总结

总之,报错注入,rand(0),floor(),group by缺一不可

到此这篇关于sql注入报错之注入原理实例解析的文章就介绍到这了!


Tags in this post...

MySQL 相关文章推荐
将图片保存到mysql数据库并展示在前端页面的实现代码
May 02 MySQL
简单了解 MySQL 中相关的锁
May 25 MySQL
MySQL中存储时间的最佳实践指南
Jul 01 MySQL
MySQL系列之五 视图、存储函数、存储过程、触发器
Jul 02 MySQL
SQL实现LeetCode(196.删除重复邮箱)
Aug 07 MySQL
一次MySQL启动导致的事故实战记录
Sep 15 MySQL
MySQL数据库中varchar类型的数字比较大小的方法
Nov 17 MySQL
Mysql存储过程、触发器、事件调度器使用入门指南
Jan 22 MySQL
mysql 获取时间方式
Mar 20 MySQL
mysql中如何用命令创建联合唯一索引
Apr 20 MySQL
MySql中的json_extract函数处理json字段详情
Jun 05 MySQL
MySQL外键约束(Foreign Key)案例详解
Jun 28 MySQL
MySQL如何修改字段类型和字段长度
Jun 10 #MySQL
mysql数据库实现设置字段长度
Jun 10 #MySQL
MySQL优化之慢日志查询
Jun 10 #MySQL
MySql中的json_extract函数处理json字段详情
Jun 05 #MySQL
Mysql中@和@@符号的详细使用指南
Jun 05 #MySQL
MySQL中JOIN连接的基本用法实例
Jun 05 #MySQL
MySQL中order by的执行过程
You might like
PHP编程入门的基本语法知识点总结
2016/01/26 PHP
php实现背景图上添加圆形logo图标的方法
2016/11/17 PHP
Laravel 5.5基于内置的Auth模块实现前后台登陆详解
2017/12/21 PHP
PHP学习记录之常用的魔术常量详解
2019/12/12 PHP
javascript 定义初始化数组函数
2009/09/07 Javascript
JQuery 插件制作实践 xMarquee插件V1.0
2010/04/02 Javascript
关于jQuery新的事件绑定机制on()的使用技巧
2013/04/26 Javascript
JS返回上一页实例代码通过图片和按钮分别实现
2013/08/16 Javascript
JavaScript作用域与作用域链深入解析
2013/12/06 Javascript
js导航栏单击事件背景变换示例代码
2014/01/13 Javascript
三种动态加载js的jquery实例代码另附去除js方法
2014/04/30 Javascript
Javascript快速排序算法详解
2014/12/03 Javascript
javascript中Date()函数在各浏览器中的显示效果
2015/06/18 Javascript
浅谈jquery上下滑动的注意事项
2016/10/13 Javascript
教你5分钟学会用requirejs(必看篇)
2017/07/25 Javascript
浅谈函数调用的不同方式,以及this的指向
2017/09/17 Javascript
使用nodeJs来安装less及编译less文件为css文件的方法
2017/11/20 NodeJs
微信小程序静默登录的实现代码
2020/01/08 Javascript
vue+render+jsx实现可编辑动态多级表头table的实例代码
2020/04/01 Javascript
JavaScript图像放大镜效果实现方法详解
2020/06/28 Javascript
[43:51]2018DOTA2亚洲邀请赛3月30日 小组赛B组 EG VS Secret
2018/03/31 DOTA
python返回昨天日期的方法
2015/05/13 Python
python中循环语句while用法实例
2015/05/16 Python
教你用Python创建微信聊天机器人
2020/03/31 Python
CSS3 please 跨浏览器的CSS3产生器
2010/03/14 HTML / CSS
详解CSS3中@media的实际使用
2015/08/04 HTML / CSS
利用css3画个同心圆示例代码
2017/07/03 HTML / CSS
J2EE是技术还是平台还是框架
2016/08/14 面试题
十佳美德少年事迹材料
2014/02/05 职场文书
物业总经理岗位职责
2014/02/28 职场文书
元旦联欢会感言
2014/03/04 职场文书
社保缴纳证明申请书
2014/11/03 职场文书
捐助倡议书
2015/01/19 职场文书
三八妇女节寄语
2015/02/27 职场文书
独生子女证明范本
2015/06/19 职场文书
利用 SQL Server 过滤索引提高查询语句的性能分析
2021/07/15 SQL Server