什么是报错注入

报错注入是一种 SQL 注入类型，用于使 SQL 语句报错的语法，用于注入结果无回显但错误信息有输出的情况。返回的错误信息即是攻击者需要的信息。所以当我们没有回显位时可以考虑报错注入这种方法来进行渗透测试。

通过我看过多篇博客后，发现大多是是使用三种报错注入方式，分别是：floor()、updatexml()、extractvalue()。

extractvalue 和 updatexml 函数形成的 xpath 报错，这算两种。还有一种就是 floor 实现的 group by 主键重复，这算另外一种。

如果想要看十种请移步十种 MySQL 报错注入 注入前提

(1) Web 应用程序未关闭数据库报错函数，对于一些 SQL 语句的错误直接回显在页面上

(2)后台未对一些具有报错功能的函数进行过滤 常用的报错功能函数包括 extractvalue()、updatexml)、floor()、exp()等

extractvalue 和 updatexml 函数报错原理

xml 文档中查找字符位置是用/xxx/xxx/xxx/…这种格式，如果写入其他格式就会报错,并且会返回写入的非法格式内容，错误信息如:XPATH syntax error:‘xxxxxxxx’。 该函数最大显示长度为 32，超过长度可以配合 substr、limit 等函数来显示

值得注意的是适用的版本：5.1.5+ 函数基本格式：

可以看到函数里面的参数，简单分析一下，xml_frag参数就是为了上传一个 xml 文档，xpath_expr参数就是用 xpath 路径法查找路径，而 extractvalue 报错注入 就是通过在函数中写如不符合语法格式的 xpath 达到报错的目的，并且通过拼接 sql 注入语句从而通过报错查询并显示我们想要查询的内容；比如我们要查找数据库版本，构造格式如下：

无脑不解释连招如下

0x7e 是符号~，用于区分爆出来的字段

与extractvalue函数利用方式差不多，原理大致一致，基本格式如下：

分别分析里面的参数：

xml - taeget：需要操作的xml片段，是string格式，为xml文档对象的名称 xpath -expr：需要更新的路径； xml -xml：更新后的的xml字段，string格式，替换查找到的负荷条件的数据 作用：改变文档中符合条件的节点的值

无脑不解释连招如下

这种方式可以实现报错的原因是：*虚拟表的主键重复*。

floor函数与上面两个的利用方法就不是那么一样了，在了解这个函数之前先看一些会用到的函数。

*floor()函数*:返回小于等于该值的最大整数，即向下取整，只保留整数部分

*rand()函数：* 产生一个伪随机的序列，执行函数，随机产生一个0~1之间的数值。

*count()函数：* 返回指定列的数目。

> COUNT(*)计算所有行，而COUNT(column_name)计算特定列中的非NULL值数量

*group by()函数：* 结合合计函数，根据一个或多个列对结果集进行分组。

> 值得注意的是5.6版本是可以用group by重复的这个报错注入，但是mysql即8.x已经不适用，其他版本不确定

本人对数据库并不是了解很深，仅仅知识了解curd的基本指令，因此这里我还是华丽一段时间理解原理

这位博主关于这块写的很好SQL注入实战之报错注入篇

无脑不解释连招如下

sqlmap详细使用教程_sqlmap使用教程-CSDN博客