sql注入报错之注入原理实例解析


Posted in MySQL onJune 10, 2022

前言

我相信很多小伙伴在玩sql注入报错注入时都会有一个疑问,为什么这么写就会报错?曾经我去查询的时候,也没有找到满意的答案,时隔几个月终于找到搞清楚原理,特此记录,也希望后来的小伙伴能够少走弯路

0x01

我们先来看一看现象,我这里有一个users表,里面有五条数据:

sql注入报错之注入原理实例解析

然后用我们的报错语句查询一下:

select count(*),(concat(floor(rand()*2),(select version())))x from users group by x

sql注入报错之注入原理实例解析

成功爆出了数据库的版本号。

要理解这个错误产生的原因,我们首先要知道group by语句都做了什么。我们用一个studetn表来看一下:

sql注入报错之注入原理实例解析

现在我们通过年龄对这个表中的数据进行下分组:

sql注入报错之注入原理实例解析

形成了一个新的表是吧?你其实应该能够想到group by 语句的执行流程了吧?最开始我们看到的这张sage-count()表应该时空的,但是在group by语句执行过程中,一行一行的去扫描原始表的sage字段,如果sage在sage-count()不存在,那么就将他插入,并置count()置1,如果sage在sage-count()表中已经存在,那么就在原来的count(*)基础上加1,就这样直到扫描完整个表,就得到我们看到的这个表了。

注:这里有特别重要的一点,group by后面的字段时虚拟表的主键,也就是说它是不能重复的,这是后面报错成功的关键点,其实前面的报错语句我们已经可以窥见点端倪了

sql注入报错之注入原理实例解析

0x02

正如我前面所说的,报错的主要原因时虚拟表的主键重复了,那么我们就来看一下它到底是在哪里,什么时候重复的。这里rand()函数就登场了。
首先我们先来了解rand()函数的用法:

1.用来生成一个0~1的数

2.还可以给rand函数传一个参数作为rand()的种子,然后rand函数会依据这个种子进行随机生成。

那他们的区别是什么呢?我们来看一下,这两个语句的执行效果:

sql注入报错之注入原理实例解析

可以看到rand()生成的数据毫无规律,而rand(0)生成的数据则有规律可循,是:
0110 0110

注:如果你觉得数据不够,证明不了rand()的随机性,你可以自己多插入几条数据再查询试一下。

0x03

现在我们弄清楚了group by语句的工作流程,以及rand()与rand(0)的区别,那么接下来就是重点了,mysql官方说,在执行group by语句的时候,group by语句后面的字段会被运算两次。

**第一次:**我们之前不是说了会把group by后面的字段值拿到虚拟表中去对比吗,在对比之前肯定要知道group by后面字段的值,所以第一次的运算就发生在这里。

**第二次:**现在假设我们下一次扫描的字段的值没有在虚拟表中出现,也就是group by后面的字段的值在虚拟表中还不存在,那么我们就需要把它插入到虚拟表中,这里在插入时会进行第二次运算,由于rand函数存在一定的随机性,所以第二次运算的结果可能与第一次运算的结果不一致,但是这个运算的结果可能在虚拟表中已经存在了,那么这时的插入必然导致错误!

所以我们现在通过一个例子来验证我们的理论,拿出我们最开始的例子:

select count(*),(concat(floor(rand(0)*2),'@',(select version())))x from users group by x

声明:users表就是本文第一个表,表中有五条数据

注意我这里用的是rand(0),不是rand(),rand(0)生成的有规律的序列:

sql注入报错之注入原理实例解析

我们跟着刚刚的思路走,最开始的虚拟表是空的,就像下面一样:

count(*) x
   

当我扫描原始表的第一项时,第一次计算,floor(rand(0)*2)是0,然后和数据库的版本号(假设就是5.7.19)拼接,到虚拟表里去寻找x有没有x的值是x@5.7.19的数据项,结果显然是没有,那么接下来就将它插入到上表中,但是还记得吗,在插入之前会进行第二次计算,这时x的值就变成了1@5.7.19,所以虚拟表变成了下面这样:

count(*) x
1 1@5.7.19

现在扫描原始表的第二项,第一次计算x==’1@5.7.19‘,已经存在,不需要进行第二次计算,直接插入,得到下表:

count(*) x
2 1@5.7.19

扫描原始表的第三项,第一次计算x==‘0@5.7.19’,虚拟表中找不到,那么进行第二次计算,这时x==‘1@5.7.19’,然后插入,但是插入的时候问题就发生了,虚拟表中已经存在以1@5.7.19为主键的数据项了,插入失败,然后就报错了!

上面是使用rand(0)的情况,rand(0)是比较稳定的,所以每次执行都可以报错,但是如果使用rand()的话,因为它生成的序列是随机的嘛,所以并不是每次执行都会报错,下面是我的测试结果:

sql注入报错之注入原理实例解析

执行了五次,报错两次,所以是看运气。

总结

总之,报错注入,rand(0),floor(),group by缺一不可

到此这篇关于sql注入报错之注入原理实例解析的文章就介绍到这了!


Tags in this post...

MySQL 相关文章推荐
MySQL查询学习之基础查询操作
May 08 MySQL
MySql新手入门的基本操作汇总
May 13 MySQL
MySQL不使用order by实现排名的三种思路总结
Jun 02 MySQL
mysql 如何获取两个集合的交集/差集/并集
Jun 08 MySQL
MySQL系列之四 SQL语法
Jul 02 MySQL
mysql事务对效率的影响分析总结
Oct 24 MySQL
MySQL笔记 —SQL运算符
Jan 18 MySQL
一条 SQL 语句执行过程
Mar 17 MySQL
MySQL实现配置主从复制项目实践
Mar 31 MySQL
mysql使用 not int 子查询隐含陷阱
Apr 12 MySQL
在MySQL中你成功的避开了所有索引
Apr 20 MySQL
MySQL8.0 Undo Tablespace管理详解
Jun 16 MySQL
MySQL如何修改字段类型和字段长度
Jun 10 #MySQL
mysql数据库实现设置字段长度
Jun 10 #MySQL
MySQL优化之慢日志查询
Jun 10 #MySQL
MySql中的json_extract函数处理json字段详情
Jun 05 #MySQL
Mysql中@和@@符号的详细使用指南
Jun 05 #MySQL
MySQL中JOIN连接的基本用法实例
Jun 05 #MySQL
MySQL中order by的执行过程
You might like
PHP将URL转换成短网址的算法分享
2016/09/13 PHP
PHP getNamespaces()函数讲解
2019/02/03 PHP
[原创]用javascript实现检测指定目录是否存在的方法
2008/01/12 Javascript
Javascript 设计模式(二) 闭包
2010/05/26 Javascript
jQuery.Validate 使用笔记(jQuery Validation范例 )
2010/06/25 Javascript
6个DIV 135或246间隔一秒轮番显示效果
2010/07/24 Javascript
关于javascript中的typeof和instanceof介绍
2012/12/04 Javascript
jquery实现右侧栏菜单选择操作
2016/03/04 Javascript
Vue 2.0 服务端渲染入门介绍
2017/03/29 Javascript
React中上传图片到七牛的示例代码
2017/10/10 Javascript
微信小程序使用map组件实现获取定位城市天气或者指定城市天气数据功能
2019/01/22 Javascript
vue2.0 解决抽取公用js的问题
2020/07/31 Javascript
[00:20]DOTA2荣耀之路7:-ah fu-抢盾
2018/05/31 DOTA
使用python BeautifulSoup库抓取58手机维修信息
2013/11/21 Python
Python random模块(获取随机数)常用方法和使用例子
2014/05/13 Python
Python六大开源框架对比
2015/10/19 Python
利用python微信库itchat实现微信自动回复功能
2017/05/18 Python
详解Python下Flask-ApScheduler快速指南
2018/11/04 Python
Python基本类型的连接组合和互相转换方式(13种)
2019/12/16 Python
基于python-pptx库中文文档及使用详解
2020/02/14 Python
python 追踪except信息方式
2020/04/25 Python
python 日志模块 日志等级设置失效的解决方案
2020/05/26 Python
css3实现的下拉菜单效果示例
2014/01/22 HTML / CSS
AmazeUI 手机版页面的顶部导航条Header与侧边导航栏offCanvas的示例代码
2020/08/19 HTML / CSS
eDreams葡萄牙:全球最大的在线旅行社之一
2019/04/15 全球购物
C语言面试题
2015/10/30 面试题
创业计划书的内容步骤和要领
2014/01/04 职场文书
建房协议书
2014/04/11 职场文书
班干部竞选演讲稿
2014/04/24 职场文书
健康家庭事迹材料
2014/05/02 职场文书
环保倡议书范文
2014/05/12 职场文书
2014年共青团工作总结
2014/12/10 职场文书
2015年学校安全工作总结
2015/04/22 职场文书
政工师工作总结2015
2015/05/26 职场文书
八年级数学教学反思
2016/02/17 职场文书
MySQL七种JOIN类型小结
2021/10/24 MySQL