MySQL floor()报错原理分析 – 作者:batsheng

简述

floor报错注入也有叫group报错注入的,都一样,指的都是他们。floor报错注入我想大多数人跟我一样,都是会用而不明白其中的原理。这个问题困扰了在下好长时间了,所以决定好好研究下,最终产出了这篇文章,如果各位观众老爷觉得写的还行,麻烦点个关注,如果有问题也请直接联系指正,有礼了~ 。

环境

介绍下我的测试环境:

MySQL版本:5.5.53

使用的数据库:security.users,这数据库是sqli-labs的,大家都很熟悉。

搞起

图片[1]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

咱就直接抛出常用的报错语句了,语句的利用格式相对固定,咱们一点一点的拆解,一点一点说。

select count(*) from users group by concat(database(),floor(rand(0)*2));
select count(*),concat(database(),floor(rand(0)*2))x from users group by x;

图片[2]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科它们表达的意思是一样的,第二条语句中的as x其实就是concat(database(),floor(rand(0)*2))的代指(别名),这两个SQL语句表达的意思并没什么区别。来,让我们瞅瞅它报了什么错:ERROR 1062 (23000): Duplicate entry ‘security1’ for key ‘group_key’

它说’group_key’的主键’security1’重复了,嗯?‘security1’从哪里来的?哪个表的主键重复了?

图片[3]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科虽然刚开始,咱们还不知道原理,但是可以看到报错提示语句中的数据库函数已经被执行了。就像我之前说的那样,我本身有用到sqli-labs的数据库,所以database()执行后是’security’很正常吧。

floor(rand(0)*2)

security1中的1便是来自floor(rand(0)*2),它说security1重复,那说明之前的表中已经有这个主键了。因为database()固定,我们继续来看下产生1的这个floor(rand(0)*2)。rand()同样是一个数学函数,它返回一个随机浮点值[0,1]。

图片[4]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科图片[5]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

若指定一个整数参数N,则它被作用种子值(也被叫为随机因子),(rand()会根据这个种子值随机生成)用来产生重复序列,也就是rand(0)的值重复计算是固定的。

图片[6]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科
图片[7]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

而它后面的*2,则是选定获取数据的范围[0,2],其实就是乘以2。

图片[8]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

floor()同样是一个数学函数,返回不大于x的最大整数值,比如floor(3.3)返回3,floor(-3.3)返回-4。 

图片[9]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

现在让我们看下计算users表数据的次数,floor(rand(0)*2)的值。

图片[10]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科图片[11]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科可以看到rand(0)的值确实是固定的。同时1也出现了。 concat()是字符串拼接函数,拼接多个字符串,如果字符串中含有NULL,则返回结果为NULL。这样来看,concat后的结果为’security0’或’security1’,’security1’出现了。

分析到这,我们后半部分没什么好说的了,rand()还有一个非常重要的特性我们之后跟group by一起说。

group by 与 count(*)

咱们再来说这个count(*),这是一个聚合函数,返回值的数目,它与count()的区别是它不排除NULL。

咱们通过select count(*) from users group by username;这个查询语句来了解下group by的工作过程。

19.png图片[13]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科
图片[14]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

group by在执行时,会依次取出查询表中的记录并创建一个临时表,group by的对象便是该临时表的主键。如果临时表中已经存在该主键,则将count(*)值加1,如果不存在,则将该主键插入到临时表中,注意是插入!查询前创建的空临时表。 图片[15]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

取第一条记录,username是Dumb,发现临时表中没有该主键,则将Dumb插入到主键,count(*)值计1,取第二条记录。 图片[16]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

同样,取第二条记录,username为Angelina,同样没有该主键,则将Angelina插入到主键,count(*)值计1。 图片[17]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

当取到原表中第8条admin时,同样将admin作为主键插入到临时表中,并将count(*)计1.当取第15条数据时,发现临时表中已经有admin作为主键了,则直接count(*)加1。最终结果:

图片[18]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科24.png

虽然在命令行中的显示结果跟咱的不太一样,但是思路是正确的(它貌似对结果按照字母进行了排序,又或者在插入临时表前就先进行了排序)。

写到这里,那按照上面的逻辑,报错语句应该是select count(*) from users group by ‘security0’或’security1’;啊?然后group by时创建临时表,第一个是security0,发现没有这个主键,此时将security0插入主键的位置,计1,然后取from的表中下一条记录。 图片[20]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

取下一条记录,group by 后是‘security1‘,临时表中不存在security1的主键,则将security1插入主键位置,计1,然后取下一条记录。 图片[21]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

之后group by 只有security0或security1,那应该只是计数上的变化了啊。最终应该是: 图片[22]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

那为什么不是这个结果,反而报了主键重复的错误了呢?

因为还有一个最重要的特性,就是group by与rand()使用时,如果临时表中没有该主键,则在插入前rand()会再计算一次(也就是两次,但有些博客写的是多次,这个多次到底是几次我并不知道,也没有找到相关材料作为支持,但是以两次来理解下面的实验都能说的通),就是这个特性导致了主键重复并报错。我们来看:

当group by 取第一条from 的表记录时,此时group by的是’security0’,发现临时表中并没有’security0‘的主键,注意,这个时候rand(0)*2会再计算一次,经floor()后,率先插入临时表的主键不是security0,而是security1,并计数1。 图片[23]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

然后取第二条记录,第二条记录group by 的key中的01仍由floor(rand(0)*2)继续计算获得,也就是security1。此时临时表中已经有security1的主键了,所以count(*)直接加1就可以。 图片[24]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

继续从from的表中取第三条记录,再次计算floor(rand(0)*2),结果为0,与database()拼接为security0,临时表的主键中并不存在,在插入前,floor(rand(0)*2)又计算一次,拼接后与secruity1,但是是直接插入,即使临时表中已经有了主键security1也硬要插入,从而导致主键重复报错,也就是:ERROR 1062 (23000): Duplicate entry ‘security1’ for key ‘group_key’。 

图片[25]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

写到这里报错的原理已经说完了,各位观众老爷感觉呼应上了吗?

优化

咱们继续看,咱们共从from的表中取了三条记录(这也是floor(rand(0)*2)最少需要表中有三条记录的原因),因为floor(rand(0)*2)的值为011011…,但其实第三次计算的1可以不要的(变为0101)。

如果某个floor(rand(x)*2)满足0101或1010,那么from 的表中两条数据就是可以报错的。我经过多次实验,发现floor(rand(14)*2)的值为101000…,那么咱们创建一个有两条数据的表试一下康康。 图片[26]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

创建一个test表,里面只有两条数据。 图片[27]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

分别用rand(0)*2和rand(14)*2做实验。 图片[28]-MySQL floor()报错原理分析 – 作者:batsheng-安全小百科

也就是说,在测试过程中,其实使用rand(14)*2更好一丢丢。如果from的表中只有一条数据的话floor()报错注入就没法用了,毕竟是重复,只插入一条数据怎么主键重复,对吧。

总结

最后一句话总结下:floor()报错注入的原因是group by在向临时表插入数据时,由于rand()多次计算导致插入临时表时主键重复,从而报错,又因为报错前concat()中的SQL语句或函数被执行,所以该语句报错且被抛出的主键是SQL语句或函数执行后的结果。

参考链接:

https://www.freebuf.com/column/235496.html

http://8rr.co/8bjS

来源:freebuf.com 2020-07-10 10:19:55 by: batsheng

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论