10.12CTFHub 报错注入

报错注入

报错注入就是利用了数据库的某些机制，人为地制造错误条件，使得查询结果能够出现在错误信息中。

当注入点不回显数据库查询的数据，那么通过一般的注入手段是无法返回相关数据库的信息，但是，如果查询时输入错误SQL代码会报错，并且是通过mysql_error()，mysqli_error()等返回错误，那么就存在报错注入的可能性。

MySQL报错注入通过构造payload让信息通过错误提示回显出来，主要应用与查询不回现内容，会打印错误信息；Update、insert等语句，会打印错误的信息。

相关函数

1 count()：count()函数返回匹配指定条件的行数。count(*)函数返回表中的记录数
2 floor()：floor:函数是用来向下取整呢个的，相当于去掉小数部分
3 rand()：rand()是随机取（0，1）中的一个数，但是给它一个参数后0，即rand(0),并且传如floor()后，即：floor(rand(0)*2)它就不再是随机了，序列0110110
4 concat()：用于连接两个字符串
5 group by x:x就是相当于 as x,设一个别名
6 0x26：16进制数值，ASCII为“&”，在回显中起到分隔作用

报错注入的原理在于三个函数：count(*),rand(),floor()以及group by。
1.floor()函数是用来向下取整呢个的，相当于去掉小数部分
2.rand()是随机取（0，1）中的一个数，但是给它一个参数后0，即rand(0),并且传如floor()后，即：floor(rand(0)*2)它就不再是随机了，序列0110110
即floor(rand(0)*2) 前六位是0110110
x就是相当于 as x,设一个别名

playroad

select count(*),(concat(floor(rand(0)*2),0x26,(select database())))x from users group by x;

原理：group by 查询时，先建立一个空表，用来临时存储数据，
开始查询，group by x,序列一开始为0，临时空表里不存在就填入，之后 select 中也有rand()，值为1，插入1；
查询第二条，值为1，原有值加1
查第三条，值为0，则插入select的值，为1，与原有值冲突报错。

具体实验过程如下
查看页面信息

查询数据库名

查询数据表信息

查询字段

查询字段数据信息

相关原理分析
https://www.cnblogs.com/Triomphe/p/9489639.html
用updatexml函数的做法
https://www.cnblogs.com/Cl0ud/p/12419200.html
https://blog.csdn.net/weixin_43486981/article/details/107906805