报错注入是一种特殊的SQL注入方法，其原理是通过让SQL语句报错来获取需要的信息，适用于那些没有回显但有错误输出的情况。它主要通过使用特定函数来触发错误，从而暴露目标数据。以下将介绍三种常用的报错注入函数，以及它们的使用方法和一个实际操作案例。首先，我们来了解一下函数 extractvalue。其基本格式为...
深入浅出带你学习报错注入
报错注入是一种特殊的SQL注入方法，其原理是通过让SQL语句报错来获取需要的信息，适用于那些没有回显但有错误输出的情况。它主要通过使用特定函数来触发错误，从而暴露目标数据。以下将介绍三种常用的报错注入函数，以及它们的使用方法和一个实际操作案例。
首先，我们来了解一下函数 extractvalue。其基本格式为：extractvalue(xml, xpath_expr)。这里的 xml 参数用于上传一个 XML 文档，而 xpath_expr 参数则是通过 XPath 路径查找特定节点。extractvalue 函数通过构造不符合语法格式的 XPath 路径来触发错误，并利用 SQL 注入语句查询所需信息。比如，要查询数据库版本，构造如下格式的 extractvalue 函数调用：
从返回的错误信息中，我们能够获取到查询的结果，即实现了注入效果。
接下来是 updatexml 函数，其使用方式与 extractvalue 几乎一致，原理相似。基本格式为：updatexml(xml, xpath_expr, xml)。在构造查询语句时，我们可以通过 updatexml 函数来更新 XML 文件中的内容，并借此查询所需信息。例如，要查找数据库名称，可以构造如下 PAYLOAD：
成功获取到数据库名称后，我们就可以继续构造注入语句。
最后是 floor 函数。在了解这个函数之前，先回顾一些相关函数：rand() 产生伪随机数序列；count() 返回指定列的数目；group by 结合合计函数对结果集进行分组。学习这些函数后，尝试构造 SQL 语句进行注入，可以观察到返回的错误信息提示主键重复。floor(rand(0)2) 意味着随机产生 0 或 1，使用 group by 和 count 后，对于不存在的主键会再次计算并插入，导致主键重复报错。
下面是一个实际操作案例。使用 sqli-labs 进行注入尝试，发现没有回显语句，于是尝试报错注入，成功获取到 user 信息，进而查询数据库名称为 security。接着查询 user 表，尝试爆破密码。
通过一系列操作，我们逐步深入理解了报错注入的技术细节，以及如何在实际渗透测试中应用这一方法。希望您能够动手尝试，并在实践中掌握这一技术。学习过程中如需更多资源，可参考链接：瓜子：零基础学网络安全有什么建议？如何入门？——来自一位年薪80W的网工倾情讲解。祝您在网络安全学习之旅中取得更大的进步！2024-11-09
