sql注入报错之注入原理实例解析


Posted in MySQL onJune 10, 2022

前言

我相信很多小伙伴在玩sql注入报错注入时都会有一个疑问,为什么这么写就会报错?曾经我去查询的时候,也没有找到满意的答案,时隔几个月终于找到搞清楚原理,特此记录,也希望后来的小伙伴能够少走弯路

0x01

我们先来看一看现象,我这里有一个users表,里面有五条数据:

sql注入报错之注入原理实例解析

然后用我们的报错语句查询一下:

select count(*),(concat(floor(rand()*2),(select version())))x from users group by x

sql注入报错之注入原理实例解析

成功爆出了数据库的版本号。

要理解这个错误产生的原因,我们首先要知道group by语句都做了什么。我们用一个studetn表来看一下:

sql注入报错之注入原理实例解析

现在我们通过年龄对这个表中的数据进行下分组:

sql注入报错之注入原理实例解析

形成了一个新的表是吧?你其实应该能够想到group by 语句的执行流程了吧?最开始我们看到的这张sage-count()表应该时空的,但是在group by语句执行过程中,一行一行的去扫描原始表的sage字段,如果sage在sage-count()不存在,那么就将他插入,并置count()置1,如果sage在sage-count()表中已经存在,那么就在原来的count(*)基础上加1,就这样直到扫描完整个表,就得到我们看到的这个表了。

注:这里有特别重要的一点,group by后面的字段时虚拟表的主键,也就是说它是不能重复的,这是后面报错成功的关键点,其实前面的报错语句我们已经可以窥见点端倪了

sql注入报错之注入原理实例解析

0x02

正如我前面所说的,报错的主要原因时虚拟表的主键重复了,那么我们就来看一下它到底是在哪里,什么时候重复的。这里rand()函数就登场了。
首先我们先来了解rand()函数的用法:

1.用来生成一个0~1的数

2.还可以给rand函数传一个参数作为rand()的种子,然后rand函数会依据这个种子进行随机生成。

那他们的区别是什么呢?我们来看一下,这两个语句的执行效果:

sql注入报错之注入原理实例解析

可以看到rand()生成的数据毫无规律,而rand(0)生成的数据则有规律可循,是:
0110 0110

注:如果你觉得数据不够,证明不了rand()的随机性,你可以自己多插入几条数据再查询试一下。

0x03

现在我们弄清楚了group by语句的工作流程,以及rand()与rand(0)的区别,那么接下来就是重点了,mysql官方说,在执行group by语句的时候,group by语句后面的字段会被运算两次。

**第一次:**我们之前不是说了会把group by后面的字段值拿到虚拟表中去对比吗,在对比之前肯定要知道group by后面字段的值,所以第一次的运算就发生在这里。

**第二次:**现在假设我们下一次扫描的字段的值没有在虚拟表中出现,也就是group by后面的字段的值在虚拟表中还不存在,那么我们就需要把它插入到虚拟表中,这里在插入时会进行第二次运算,由于rand函数存在一定的随机性,所以第二次运算的结果可能与第一次运算的结果不一致,但是这个运算的结果可能在虚拟表中已经存在了,那么这时的插入必然导致错误!

所以我们现在通过一个例子来验证我们的理论,拿出我们最开始的例子:

select count(*),(concat(floor(rand(0)*2),'@',(select version())))x from users group by x

声明:users表就是本文第一个表,表中有五条数据

注意我这里用的是rand(0),不是rand(),rand(0)生成的有规律的序列:

sql注入报错之注入原理实例解析

我们跟着刚刚的思路走,最开始的虚拟表是空的,就像下面一样:

count(*) x
   

当我扫描原始表的第一项时,第一次计算,floor(rand(0)*2)是0,然后和数据库的版本号(假设就是5.7.19)拼接,到虚拟表里去寻找x有没有x的值是x@5.7.19的数据项,结果显然是没有,那么接下来就将它插入到上表中,但是还记得吗,在插入之前会进行第二次计算,这时x的值就变成了1@5.7.19,所以虚拟表变成了下面这样:

count(*) x
1 1@5.7.19

现在扫描原始表的第二项,第一次计算x==’1@5.7.19‘,已经存在,不需要进行第二次计算,直接插入,得到下表:

count(*) x
2 1@5.7.19

扫描原始表的第三项,第一次计算x==‘0@5.7.19’,虚拟表中找不到,那么进行第二次计算,这时x==‘1@5.7.19’,然后插入,但是插入的时候问题就发生了,虚拟表中已经存在以1@5.7.19为主键的数据项了,插入失败,然后就报错了!

上面是使用rand(0)的情况,rand(0)是比较稳定的,所以每次执行都可以报错,但是如果使用rand()的话,因为它生成的序列是随机的嘛,所以并不是每次执行都会报错,下面是我的测试结果:

sql注入报错之注入原理实例解析

执行了五次,报错两次,所以是看运气。

总结

总之,报错注入,rand(0),floor(),group by缺一不可

到此这篇关于sql注入报错之注入原理实例解析的文章就介绍到这了!


Tags in this post...

MySQL 相关文章推荐
mysql中between的边界,范围说明
Jun 08 MySQL
MySQL系列之七 MySQL存储引擎
Jul 02 MySQL
mysq启动失败问题及场景分析
Jul 15 MySQL
SQL实现LeetCode(177.第N高薪水)
Aug 04 MySQL
MySQL分区表实现按月份归类
Nov 01 MySQL
MySQL数据库中varchar类型的数字比较大小的方法
Nov 17 MySQL
为什么MySQL不建议使用SELECT *
Apr 03 MySQL
MySql分区类型及创建分区的方法
Apr 13 MySQL
MySQL GTID复制的具体使用
May 20 MySQL
MySQL串行化隔离级别(间隙锁实现)
Jun 16 MySQL
mysql全面解析json/数组
Jul 07 MySQL
jdbc中自带MySQL 连接池实践示例
Jul 23 MySQL
MySQL如何修改字段类型和字段长度
Jun 10 #MySQL
mysql数据库实现设置字段长度
Jun 10 #MySQL
MySQL优化之慢日志查询
Jun 10 #MySQL
MySql中的json_extract函数处理json字段详情
Jun 05 #MySQL
Mysql中@和@@符号的详细使用指南
Jun 05 #MySQL
MySQL中JOIN连接的基本用法实例
Jun 05 #MySQL
MySQL中order by的执行过程
You might like
PHP中图片等比缩放的实例
2013/03/24 PHP
phpword插件导出word文件时中文乱码问题处理方案
2014/08/19 PHP
PHP版本常用的排序算法汇总
2015/12/20 PHP
CodeIgniter表单验证方法实例详解
2016/03/03 PHP
TNC vs IO BO3 第二场2.13
2021/03/10 DOTA
Jquery中的CheckBox、RadioButton、DropDownList的取值赋值实现代码
2011/10/12 Javascript
JS原型对象通俗"唱法"
2012/12/27 Javascript
通过$(this)使用jQuery包装后的方法或属性
2014/05/18 Javascript
JS实现简单的顶部定时关闭层效果
2014/06/15 Javascript
jquery让返回的内容显示在特定div里(代码少而精悍)
2014/06/23 Javascript
全面解析Bootstrap中transition、affix的使用方法
2016/05/30 Javascript
AngularJS教程之环境设置
2016/08/16 Javascript
使用jquery给指定的table动态添加一行、删除一行
2016/10/13 Javascript
Bootstrap源码解读导航条(7)
2016/12/23 Javascript
js实现自动轮换选项卡
2017/01/13 Javascript
AngularJS双向绑定和依赖反转实例详解
2017/04/15 Javascript
Express下采用bcryptjs进行密码加密的方法
2018/02/07 Javascript
layui获取多选框中的值方法
2018/08/15 Javascript
小程序从手动埋点到自动埋点的实现方法
2019/01/24 Javascript
javascript实现图片轮播代码
2019/07/09 Javascript
在pycharm中开发vue的方法步骤
2020/03/04 Javascript
python 2.6.6升级到python 2.7.x版本的方法
2016/10/09 Python
Python 获取当前所在目录的方法详解
2017/08/02 Python
python清除字符串中间空格的实例讲解
2018/05/11 Python
Django实现登录随机验证码的示例代码
2018/06/20 Python
python实现kmp算法的实例代码
2019/04/03 Python
Django中使用极验Geetest滑动验证码过程解析
2019/07/31 Python
Python3 main函数使用sys.argv传入多个参数的实现
2019/12/25 Python
python——全排列数的生成方式
2020/02/26 Python
蔻驰美国官网:COACH美国
2016/08/18 全球购物
泰国王权免税店官方网站:KingPower
2019/03/11 全球购物
医学生毕业自我鉴定
2014/03/26 职场文书
推荐信怎么写
2014/05/09 职场文书
销售人员工作自我评价
2014/09/21 职场文书
党员自我评价2015
2015/03/03 职场文书
2016年感恩节寄语
2015/12/07 职场文书