简介
对于SQL注入的报错注入通常有三个函数需要我们掌握：
- extractValue(xml_frag, xpath_expr)
- updateXML(xml_target, xpath_expr,new_xml)
- floor()
对于extractValue和updateXML函数来说比较好理解，就不做解释了，这里只对floor函数的报错注入进行讲解。首先我们先要知道floor()报错注入的形式：
floor报错注入是利用:
select count(*),(floor(rand(0)*2)) as x from 表名 group by x
这个相对固定的语句格式，导致的数据库报错。实际利用中通过 concat 函数，连接注入语句与 floor(rand(0)*2)函数，就实现了注入结果与报错信息回显的注入方式。所以我们如果想要理解floor()报错注入的原理，我们首先需要明白：rand(),floor(),group by, count()这几个的意思。
rand()函数
rand() 是一个随机函数：产生0～1的小数
通过一个固定的随机数的种子0之后，可以形成固定的伪随机序列：
这样我们加上种子之后，这个数据就出现了可预测性。
floor()函数
那么floor报错注入利用的时候rand(0)*2为什么要乘以 2 呢？这就要配合floor 函数来说了
floor()函数和JavaScript中的Math.floor()函数的作用是一样的，也就是向下取整。
rand(0) => 0~1
rand(0)*2 => 0~2
那么floor(rand(0)*2) => 要么0， 要么1
这个时候我们再来看看之前的查询：
group by
这个就是分组，相同的数据会分到同一组。
分组的原理很简单，就是会产生一张临时表，插入临时表之前会先判断临时表中是否有对应的key， 如果没有就插入临时表，有就不插入，大概原理就是这样。
分组后：
count(*)
统计数量，如果结合group by 就是统计分组的数量。
报错分析
我们了解了几个函数的作用之后，我们来看看到底是怎么报错的。
先报个错看看：
从报错信息看这个地方group_key冲突了。
这个group_key为什么会冲突呢？我们分析分析：
从前面floor(rand(0)*2) 得知，当我们执行查询：
select floor(rand(0)*2) from user_rule
的时候会产生固定的序列： 011011011
这个时候再结合group by 会产生一个虚拟表，我们来探讨过程：
1.虚表写入第一条记录，执行floor(rand(0)*2)，发现结果为0(此时为第一次计算)
| 操作 | key | floor(rand(0)*2) | count(*) |
|---|---|---|---|
| 取第一条记录 | 0 |
2.查询虚拟表，发现0的键值不存在，则插入新的键值的时候floor(rand(0)*2)会被再计算一次，结果为1(此时为第二次计算)，插入虚表，第一条记录插入完毕，结果为1。
| 操作 | key | floor(rand(0)*2) | count(*) |
|---|---|---|---|
| 取第一条记录 | 0 | ||
| 插入记录 | 1 | 1 | 1 |
3.虚表写入第二条记录，再次计算floor(rand(0)*2)，发现结果为1(此时为第三次计算)，此时结算结果为1，所以floor(rand(0)*2)不会被计算，直接count(*)加1，第二条记录写入完毕。查询虚表，发现1的键值存在，所以floor(rand(0)*2)不会被计算第二次，第二条记录查询完毕
| 操作 | key | floor(rand(0)*2) | count(*) |
|---|---|---|---|
| 取第一条记录 | 0 | ||
| 插入记录 | 1 | 1 | 1 |
| 取第二条记录不用插入 | 1 | 1 | 2 |
4.虚表写入第三条记录，再次计算floor(rand(0)*2)，发现结果为0(此时为第4次计算)，计算结果为0，此时虚表中没有0的数据记录，则执行插入该数据，插入时会再次计算floor(rand(0)*2)（此时为第5次计算），计算结果为1。然而1这个主键已经存在于虚拟表中，而新计算的值也为1(主键键值必须唯一)，所以就产生了主键冲突的错误，也就是：Duplicate entry 的报错。
| 操作 | key | floor(rand(0)*2) | count(*) |
|---|---|---|---|
| 取第一条记录 | 0 | ||
| 插入记录 | 1 | 1 | 1 |
| 取第二条记录不用插入 | 1 | 1 | 2 |
| 取第三条 | 0 | ||
| 插入记录 | 1 冲突 | 1 |
总结：
在虚表中写入第三条记录是时，产生了报错。此时floor(rand(0)*2)一共被计算了5次，所以数据表中需要最少3条数据才会报错。
另外，要注意加入随机数种子的问题，如果没加入随机数种子或者加入其他的数，那么floor(rand()*2)产生的序列是不可测的，这样可能会出现正常插入无法报错的情况。最重要的是前面几条记录查询后不能让虚表存在0,1键值，如果存在了，那无论多少条记录，也都没办法报错，因为floor(rand()*2)不会再被计算做为虚表的键值，这也就是为什么不加随机数种子有时候会报错，有时候不会报错的原因。
执行报错语句获取数据
爆库
SELECT * FROM user_rule WHERE id = 1 AND (SELECT 1 from
(SELECT count(*),concat(0x23,(SELECT schema_name from information_schema.schemata LIMIT 0,1),0x23,floor(rand(0)*2)) as x
from information_schema.`COLUMNS` GROUP BY x)
as y)
爆表
SELECT * FROM user_rule WHERE id = 1 AND (SELECT 1 from
(SELECT count(*),concat(0x23,
(SELECT table_name from information_schema.`TABLES` WHERE table_schema = database() LIMIT 0,1),
0x23,floor(rand(0)*2)) as x
from information_schema.`COLUMNS` GROUP BY x)
as y)
爆列
SELECT * FROM user_rule WHERE id = 1 AND (SELECT 1 from
(SELECT count(*),concat(0x23,(SELECT column_name from information_schema.COLUMNS where table_name = 'members' LIMIT 0,1),
0x23,floor(rand(0)*2)) as x
from information_schema.`COLUMNS` GROUP BY x)
as y)
