报错型盲注原理分析

　前言

众所周知，盲注并不会返回错误信息，使得sql注入的难度提高。而报错型注入则是利用了MySQL的第8652号bug ：Bug #8652 group by part of rand() returns duplicate key error来进行的盲注，使得MySQL由于函数的特性返回错误信息，进而我们可以显示我们想要的信息，从而达到注入的效果；当然其他类型的数据库也存在相应的问题，在此我们不提。
原理剖析

Bug 8652的主要内容就是在使用group by 对一些rand()函数进行操作时会返回duplicate key 错误，而这个错误将会披露关键信息，如

"Duplicate entry '####' for key 1"

这里的####正是用户输入的希望查询的内容

而该bug产生的主要原因就是：在rand()和group by同时使用到的时候，可能会产生超出预期的结果，因为会多次对同一列进行查询

对这个bug的利用

显然，我们需要巧妙地构造出能够触发上面这种类型报错的语法，或者说是公式来有意地触发bug。

原理

通用的公式：
?id=1' union Select 1,count(*),concat(你希望的查询语句,floor(rand(0)*2))a from information_schema.columns group by a

在进行查询时，sql会根据需要建立临时表进行数据的存储;

关于为什么会报错，官方介绍中说到，对同一列进行多次查询，即rand多次执行，那么我们可以猜测，当查询第一条语句时，结果为0，可以知道在临时表中键值为0不存在，因此我们会进行插入结果的操作，在插入之前猜测rand再次执行，因此插入了键值为1的结果

下一个数：此时已经查询到了第三个数“1”，因为临时表已存在该数，因此count值+1

下一个数：此时查询到0，又因为不存在该值，因此我们又会进行插入结果的操作，继续我们的猜测，在插入前进行rand的再次执行，因此想要插入值为1的新列，而值为1的列已存在，因此报错（count()函数的特性）！

结论

对于一个整数x，对于floor(rand(x)*2)产生的序列，如果在未出现“0011”或“1100”序列前出现“0010“或”1101”，那么该floor(rand(x)*2)产生的序列可用于报错型sql盲注

参考

https://blog.youkuaiyun.com/qq_35544379/article/details/77453019