SQL注入之报错型注入

原文链接：http://wyb0.com/posts/injection-of-error-based/

前提

一般是在页面没有显示位、但用echo mysql_error();输出了错误信息的时候使用，
它的特点是注入速度快，但是语句较复杂,不能用group_concat(),只能用limit依次猜解

利用方式

count(*)、rand()、group by三者缺一不可
报错注入用一个公式，只要套用公式即可，公式如下:
?id=2' and (select 1 from (select count(*),concat( floor(rand(0)*2),(select (select (爆错语句)) from information_schema.tables limit 0,1))x from information_schema.tables group by x )a
)--+

公式解析

floor()是取整数
rand()在0和1之间产生一个随机数
rand(0)*2将取0到2的随机数
floor(rand()*2)有两条记录就会报错
floor(rand(0)*2)记录需为3条以上，且3条以上必报错，返回的值是有规律的
count(*)是用来统计结果的，相当于刷新一次结果
group by在对数据进行分组时会先看看虚拟表里有没有这个值，没有的话就插入存在的话count(*)加1
在使用group by时floor(rand(0)*2)会被执行一次，若虚表不存在记录，插入虚表时会再执行一次

注入步骤

• 得到闭合字符
• 猜列数、尝试爆显示位
• 得到数据库个数和数据库名
• 得到表个数和表名
• 得到列数量和列名
• 得到列值

猜测闭合字符

sqli5_get_closed_character.png

sqli5_check_closed_character.png

猜测列数

sqli5_order_by.png

尝试得到显示位

sqli5_get_display_point.png

报错得到数据库个数

sqli5_get_db_num.png

报错得到数据库名

sqli5_get_db_name.png

报错得到表名

sqli5_get_table_num.png

sqli5_get_table_name.png

报错得到列名

sqli5_get_column_num.png

sqli5_get_column_name1.png

sqli5_get_column_name2.png

得到列值

sqli5_get_column_num.png

sqli5_get_column_value.png