搜索

[16295] 2021-01-08_关于floor()报错注入，你真的懂了吗？

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-18
2021-01-08_关于floor()报错注入，你真的懂了吗？ 关 于 f l o o r ( ) 报 错 注 入 ， 你 真 的 懂 了 吗 ？ 队 员 编 号 0 3 5   F r e e B u f   2 0 2 1 - 0 1 - 0 8 0 x 0 1   简 述 简 述 f l o o r 报 错 注 入 也 有 叫 g r o u p 报 错 注 入 的 ， 都 一 样 ， 指 的 都 是 他 们 。 f l o o r 报 错 注 入 我 想 大 多 数 人 跟 我 一 样 ， 都 是 会 用 而 不 明 白 其 中 的 原 理 。 这 个 问 题 困 扰 了 在 下 好 长 时 间 了 ， 所 以 决 定 好 好 研 究 下 ， 最 终 产 出 了 这 篇 文 章 。 0 x 0 2   环 境 环 境 介 绍 下 我 的 测 试 环 境 ： M y S Q L 版 本 ： 5 . 5 . 5 3 使 用 的 数 据 库 ： s e c u r i t y . u s e r s ， 这 数 据 库 是 s q l i - l a b s 的 ， 大 家 都 很 熟 悉 。 0 x 0 3   搞 起 搞 起 咱 就 直 接 抛 出 常 用 的 报 错 语 句 了 ， 语 句 的 利 用 格 式 相 对 固 定 ， 咱 们 一 点 一 点 的 拆 解 ， 一 点 一 点 说 。 它 们 表 达 的 意 思 是 一 样 的 ， 第 一 个 中 的 其 实 就 是 的 代 指 （ 别 名 ） ， 这 两 个 S Q L 语 句 表 达 的 意 思 并 没 什 么 区 别 。 来 ， 让 我 们 瞅 瞅 它 报 了 什 么 错 ： s e l e c t   c o u n t ( )   f r o m   u s e r s   g r o u p   b y   c o n c a t ( d a t a b a s e ( ) , f l o o r ( r a n d ( 0 ) 2 ) ) ; s e l e c t   c o u n t ( ) , c o n c a t ( d a t a b a s e ( ) , f l o o r ( r a n d ( 0 ) 2 ) )   a s   x   f r o m   u s e r s   g r o u p   b y   x ; a s x c o n c a t ( d a t a b a s e ( ) , f l o o r ( r a n d ( 0 ) * 2 ) ) E R R O R   1 0 6 2   ( 2 3 0 0 0 ) :   D u p l i c a t e   e n t r y   ‘ s e c u r i t y 1 ’   f o r   k e y   ‘ g r o u p _ k e y ’
它 说 ’ g r o u p _ k e y ’ 的 主 键 ’ s e c u r i t y 1 ’ 重 复 了 ， 嗯 ？ ’ s e c u r i t y 1 ’ 从 哪 里 来 的 ？ 哪 个 表 的 主 键 重 复 了 ？ 虽 然 刚 开 始 ， 咱 们 还 不 知 道 原 理 ， 但 是 可 以 看 到 报 错 提 示 语 句 中 的 数 据 库 函 数 已 经 被 执 行 了 。 就 像 我 之 前 说 的 那 样 ， 我 本 身 有 用 到 s q l i - l a b s 的 数 据 库 ， 所 以 d a t a b a s e ( ) 执 行 后 是 ’ s e c u r i t y ’ 很 正 常 吧 。 0 x 0 4   f l o o r ( r a n d ( 0 ) * 2 ) ‘ s e c u r i t y 1 ’ 中 的 1 便 是 来 自 f l o o r ( r a n d ( 0 ) 2 ) ， 它 说 ’ s e c u r i t y 1 ’ 重 复 ， 那 说 明 之 前 的 表 中 已 经 有 这 个 主 键 了 。 因 为 d a t a b a s e ( ) 固 定 ， 我 们 继 续 来 看 下 产 生 ’ 1 ’ 的 这 个 f l o o r ( r a n d ( 0 ) 2 ) r a n d ( ) 同 样 是 一 个 数 学 函 数 ， 它 返 回 一 个 随 机 浮 点 值 [ 0 , 1 ]
若 指 定 一 个 整 数 参 数 N ， 则 它 被 作 用 种 子 值 （ 也 被 叫 为 随 机 因 子 ） ， （ r a n d ( ) 会 根 据 这 个 种 子 值 随 机 生 成 ） 用 来 产 生 重 复 序 列 ， 也 就 是 r a n d ( 0 ) 的 值 重 复 计 算 是 固 定 的 。
而 它 后 面 的 ， 则 是 选 定 获 取 数 据 的 范 围 [ 0 , 2 ] ， 其 实 就 是 乘 以 2 。 f l o o r ( ) 同 样 是 一 个 数 学 函 数 ， 返 回 不 大 于 x 的 最 大 整 数 值 ， 比 如 f l o o r ( 3 . 3 ) 返 回 3 ， f l o o r ( - 3 . 3 ) 返 回 - 4 。 现 在 让 我 们 看 下 计 算 u s e r s 表 数 据 的 次 数 ， f l o o r ( r a n d ( 0 ) * 2 ) 的 值 。 * 2
可 以 看 到 r a n d ( 0 ) 的 值 确 实 是 固 定 的 。 同 时 1 也 出 现 了 。 c o n c a t ( ) 是 字 符 串 拼 接 函 数 ， 拼 接 多 个 字 符 串 ， 如 果 字 符 串 中 含 有 N U L L ， 则 返 回 结 果 为 N U L L 。 这 样 来 看 ， c o n c a t 后 的 结 果 为 ’ s e c u r i t y 0 ’ 或 ’ s e c u r i t y 1 ’ ， ’ s e c u r i t y 1 ’ 出 现 了 。 分 析 到 这 ， 我 们 后 半 部 分 没 什 么 好 说 的 了 ， r a n d ( ) 还 有 一 个 非 常 重 要 的 特 性 我 们 之 后 跟 g r o u p   b y 一 起 说 。
0 x 0 5   g r o u p   b y   与 与   c o u n t ( * ) 咱 们 再 来 说 这 个 c o u n t ( * ) ， 这 是 一 个 聚 合 函 数 ， 返 回 值 的 数 目 ， 它 与 c o u n t ( ) 的 区 别 是 它 不 排 除 N U L L 。 咱 们 通 过 s e l e c t   c o u n t ( * )   f r o m   u s e r s   g r o u p   b y   u s e r n a m e ； 这 个 查 询 语 句 来 了 解 下 g r o u p   b y 的 工 作 过 程 。
g r o u p   b y 在 执 行 时 ， 会 依 次 取 出 查 询 表 中 的 记 录 并 创 建 一 个 临 时 表 ， g r o u p   b y 的 对 象 便 是 该 临 时 表 的 主 键 。 如 果 临 时 表 中 已 经 存 在 该 主 键 ， 则 将 值 加 1 ， 如 果 不 存 在 ， 则 将 该 主 键 插 入 到 临 时 表 中 ， 注 意 是 插 入 ！ 查 询 前 创 建 的 空 临 时 表 。
取 第 一 条 记 录 ， u s e r n a m e 是 D u m b ， 发 现 临 时 表 中 没 有 该 主 键 ， 则 将 D u m b 插 入 到 主 键 ， c o u n t ( * ) 值 计 1 ， 取 第 二 条 记 录 。 同 样 ， 取 第 二 条 记 录 ， u s e r n a m e 为 A n g e l i n a ， 同 样 没 有 该 主 键 ， 则 将 A n g e l i n a 插 入 到 主 键 ， c o u n t ( * ) 值 计 1 。
当 取 到 原 表 中 第 8 条 a d m i n 时 ， 同 样 将 a d m i n 作 为 主 键 插 入 到 临 时 表 中 ， 并 将 c o u n t ( ) 计 1 . 当 取 第 1 5 条 数 据 时 ， 发 现 临 时 表 中 已 经 有 a d m i n 作 为 主 键 了 ， 则 直 接 c o u n t ( ) 加 1 。 最 终 结 果 ：
虽 然 在 命 令 行 中 的 显 示 结 果 跟 咱 的 不 太 一 样 ， 但 是 思 路 是 正 确 的 （ 它 貌 似 对 结 果 按 照 字 母 进 行 了 排 序 ， 又 或 者 在 插 入 临 时 表 前 就 先 进 行 了 排 序 ） 。 写 到 这 里 ， 那 按 照 上 面 的 逻 辑 ， 报 错 语 句 应 该 是   s e l e c t   c o u n t ( * )   f r o m   u s e r s   g r o u p   b y   ‘ s e c u r i t y 0 ’ 或 ’ s e c u r i t y 1 ’ ； 啊 ? ! 然 后 g r o u p   b y 时 创 建 临 时 表 ， 第 一 个 是 s e c u r i t y 0 ， 发 现 没 有 这 个 主 键 ， 此 时 将 s e c u r i t y 0 插 入 主 键 的 位 置 ， 计 1 ， 然 后 取 f r o m 表 中 的 下 一 条 记 录 。 下 一 条 是 g r o u p   b y   ‘ s e c u r i t y 1 ’ ， 临 时 表 中 不 存 在 s e c u r i t y 1 的 主 键 ， 则 将 s e c u r i t y 1 插 入 主 键 位 置 ， 计 1 ， 然 后 取 下 一 条 记 录 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理