安全矩阵

 找回密码
 立即注册
搜索
查看: 4334|回复: 0

关于floor()报错注入,你真的懂了吗?

[复制链接]

114

主题

158

帖子

640

积分

高级会员

Rank: 4

积分
640
发表于 2020-7-10 08:27:38 | 显示全部楼层 |阅读模式

关于floor()报错注入,你真的懂了吗?



来自于微信公众号:酒仙桥六号部队https://mp.weixin.qq.com/s?__biz=MzAwMzYxNzc1OA==&mid=2247485203&idx=1&sn=75674d304264f7917f1401fa96a460aa&chksm=9b3921a2ac4ea8b441f350ba5e15712f12670fe2871abc9aa93d47f9c7361e2373dac6fcd4d0&mpshare=1&scene=23&srcid=0709TKMgxoT7YMOcBw3fswWF&sharer_sharetime=1594303445407&sharer_shareid=ff83fe2fe7db7fcd8a1fcbc183d841c4#rd



简述
floor报错注入也有叫group报错注入的,都一样,指的都是他们。floor报错注入我想大多数人跟我一样,都是会用而不明白其中的原理。这个问题困扰了在下好长时间了,所以决定好好研究下,最终产出了这篇文章,如果各位观众老爷觉得写的还行,麻烦点个关注,如果有问题也请直接联系指正,在下有礼了~

环境
介绍下我的测试环境:
MySQL版本:5.5.53
使用的数据库:security.users,这数据库是sqli-labs的,大家都很熟悉。

搞起

咱就直接抛出常用的报错语句了,语句的利用格式相对固定,咱们一点一点的拆解,一点一点说。
  • select count(\*) from users group by concat(database(),floor(rand(0)\*2));
  • select count(\*),concat(database(),floor(rand(0)\*2)) as x from users group by x;



它们表达的意思是一样的,第一个中的asx其实就是concat(database(),floor(rand(0)*2))的代指(别名),这两个SQL语句表达的意思并没什么区别。
来,让我们瞅瞅它报了什么错:
  • ERROR 1062 (23000): Duplicate entry 'security1' for key 'group_key'
它说'group_key'的主键'security1'重复了,嗯?'security1'从哪里来的?哪个表的主键重复了?

虽然刚开始,咱们还不知道原理,但是可以看到报错提示语句中的数据库函数已经被执行了。
就像我之前说的那样,我本身有用到sqli-labs的数据库,所以database()执行后是'security'很正常吧。

floor(rand(0)*2)
‘security1'中的1便是来自floor(rand(0)*2),它说'security1'重复,那说明之前的表中已经有这个主键了。因为database()固定,我们继续来看下产生'1'的这个floor(rand(0)*2)。
rand()同样是一个数学函数,它返回一个随机浮点值[0,1]。

若指定一个整数参数N,则它被作用种子值(也被叫为随机因子),(rand()会根据这个种子值随机生成)用来产生重复序列,也就是rand(0)的值重复计算是固定的。

而它后面的*2 ,则是选定获取数据的范围[0,2],其实就是乘以2。

floor()同样是一个数学函数,返回不大于x的最大整数值,比如floor(3.3)返回3,floor(-3.3)返回-4。

现在让我们看下计算users表数据的次数,floor(rand(0)*2)的值。

可以看到rand(0)的值确实是固定的。同时1也出现了。
concat()是字符串拼接函数,拼接多个字符串,如果字符串中含有NULL,则返回结果为NULL。这样来看,concat后的结果为'security0'或'security1','security1'出现了。
分析到这,我们后半部分没什么好说的了,rand()还有一个非常重要的特性我们之后跟group by一起说。

group by 与 count(*)
咱们再来说这个count(*),这是一个聚合函数,返回值的数目,它与count()的区别是它不排除NULL。
咱们通过select count(*) from users group by username;这个查询语句来了解下group by的工作过程。

group by在执行时,会依次取出查询表中的记录并创建一个临时表,group by的对象便是该临时表的主键。如果临时表中已经存在该主键,则将值加1,如果不存在,则将该主键插入到临时表中,注意是插入!
查询前创建的空临时表。

取第一条记录,username是Dumb,发现临时表中没有该主键,则将Dumb插入到主键,count(*)值计1,取第二条记录。

同样,取第二条记录,username为Angelina,同样没有该主键,则将Angelina插入到主键,count(*)值计1。

当取到原表中第8条admin时,同样将admin作为主键插入到临时表中,并将count(*)计1.当取第15条数据时,发现临时表中已经有admin作为主键了,则直接count(*)加1。最终结果:

虽然在命令行中的显示结果跟咱的不太一样,但是思路是正确的(它貌似对结果按照字母进行了排序,又或者在插入临时表前就先进行了排序)。
写到这里,那按照上面的逻辑,报错语句应该是select count(*) from users group by 'security0'或'security1';啊?!然后group by时创建临时表,第一个是security0,发现没有这个主键,此时将security0插入主键的位置,计1,然后取from表中的下一条记录。

下一条是group by 'security1',临时表中不存在security1的主键,则将security1插入主键位置,计1,然后取下一条记录。

之后group by 只有security0或security1,那应该只是计数上的变化了啊。最终应该是:

那为什么不是这个结果,反而报了主键重复的错误了呢?
因为还有一个最重要的特性,就是group by与rand()使用时,如果临时表中没有该主键,则在插入前rand()会再计算一次(也就是两次,但有些博客写的是多次,这个多次到底是几次并不知道,但是以两次来理解下面的实验都能说的通)。就是这个特性导致了主键重复并报错。我们来看:
当group by 取第一条from 表记录时,此时group by的是'security0',发现临时表中并没有'security0'的主键,注意,这个时候rand(0)*2会再计算一次,经floor()后,率先插入临时表的主键不是security0,而是security1,并计数1。

然后取第二条记录,第二条记录group by 的key中的01仍由floor(rand(0)*2)继续计算获得,也就是security1。此时临时表中已经有security1的主键了,所以count(*)直接加1就可以。

继续从from的表中取第三条记录,再次计算floor(rand(0)*2),结果为0,与database()拼接为security0,临时表的主键中并不存在,在插入前,floor(rand(0)*2)又计算一次,拼接后与secruity1,但是是直接插入,即使临时表中已经有了主键security1也硬要插入,从而导致主键重复报错,也就是:ERROR 1062 (23000): Duplicate entry 'security1' for key 'group_key'。
写到这里报错的原理已经说完了,不知道大家跟我呼应上了没,有没有感受到我的倔强及小宇宙。

优化
咱们继续看,咱们共从from的表中取了三条记录,因为floor(rand(0)*2)的值为011011...,但其实第三次计算的1可以不要的,如果某个floor(rand(x)*2)满足0101或1010,那么from的表中两条数据就是可以报错的。我经过多次实验,发现floor(rand(14)*2)的值为101000...,那么咱们创建一个有两条数据的表试一下看看。

创建一个test表,里面只有两条数据。

分别用rand(0)*2和rand(14)*2做实验。

也就是说,在测试过程中,其实使用rand(14)*2更好一丢丢。如果from的表中只有一条数据的话floor()报错注入就没法用了,毕竟是重复,只插入一条数据怎么主键重复,对吧。

总结
最后一句话总结下:floor()报错注入的原因是group by在向临时表插入数据时,由于rand()多次计算导致插入临时表时主键重复,从而报错,又因为报错前concat()中的SQL语句或函数被执行,所以该语句报错且被抛出的主键是SQL语句或函数执行后的结果。
好了,写到这里可终于写完了,┑( ̄Д  ̄)┍。

参考链接:
https://www.freebuf.com/column/235496.html
http://8rr.co/8bjS












本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-28 21:52 , Processed in 0.017045 second(s), 19 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表