sql注入-5floor报错注入

floor报错注入 floor报错注入原理

floor()报错注入的原因是group by在向临时表插入数据时，由于rand()多次计算导致插入临时表时主键重复，从而报错，又因为报错前concat()中的SQL语句或函数被执行，所以该语句报错且被抛出的主键是SQL语句或数执行后的结果。

主要是因为count()与group by联合使用时，会出现一个虚拟表，然后依次查询group by插入至一张含主键key，数量count的虚拟表中，按分组来插入，相同主键的数量+1；

floor(rand(0)*2)的值为011011 ，因为rand()在数据库中执行完成的速度更快。数据库运行命令时，首先在虚拟表中查询是否有相同的主键或分组，然后进行插入操作。

可以这么理解:

(1)当我们查询floor(rand(0)*2)的值的第一位0时,发现虚拟表中没有0这个主键，然后准备新建主键|分组操作，但是由于rand()函数特性(执行更快)，我们插入时发现0已经不存在了，因此我们插入第二位值1。

(2)第二位插入完后查询第三位1，发现主键中已经有1，因此主键1对应的数量count()+1。

(3)查询第四位值0时，发现0在虚拟表中没有主键，因此再次执行新建主键|分组操作，但由于rand函数特性，插入时发现0已经不存在，新建的分组|主键中插入第五位值1，因此产生主键冲突的报错。

floor报错注入用到的函数

floor(x) //向下取整，即取不大于x的最大整数。

rand(x) //随机产生一个0-1之间的浮点数,当指定参数x之后，每次生成的值都是一样的,故称之为固定的伪随机数字(产生的数字都是可预知的)就比如rand(0)

count(*) //返回值的条目，与count()的区别在于其不排除NULL，count()如果统计到NULL,返回的结果即为NULL，返回列数。

group by //分组的意思

可以去数据库中分别敲一下上述函数的含义与作用

floor报错注入语句以及解释

and (select 1 from (select count(*),concat(database(),floor(rand(0)*2)) x from information_schema.tables group by x)a) %23

1.为什么要加select 1 from

如果不加入，在数据库中会产生报错：operand should contain 1 column(s) //操作数应该包含一列

2.为什么要加 x和a

如果不加，数据库报错：Every derived table must have its own alias //每个派生表必须有自己的别名

限制

在mysql数据库高版本中floor报错不能用，会报错：
1242 - Subquery returns more than 1 row

我的版本是8.0.29

over