技术分享：Mysql注入点在limit关键字后面的利用方法

描写s q l注入利用方法的文章数不胜数，本文将描述一种比较特殊的场景。

细节

在一次测试中，我碰到了一个s q l注入的问题，在网上没有搜到解决办法，当时的注入点是在 l i m i t关键字后面，数据库是M y S Q L 5.x,S Q L语句类似下面这样：

问题的关键在于，语句中有order by 关键字，我们知道，mysql 中在o r d e r  b y 前面可以使用u n i o n 关键字，所以如果注入点前面没有o r d e r  b y 关键字，就可以顺利的使用u n i o n 关键字，但是现在的情况是，注入点前面有o r d e r  b y 关键字，这个问题在s t a c k o v e r f l o w 上和s l a . c k e r s上都有讨论，但是都没有什么有效的解决办法。

我们先看看 mysql 5.x 的文档中的 s e l e c t 的语法：

l i m i t 关键字后面还有 P R O C E D U R E 和 I N T O 关键字，i n t o 关键字可以用来写文件，但这在本文中不重要，这里的重点是 P R O C E D U R E 关键字.M y S Q L默认可用的存储过程只有 A N A L Y S E (doc)。

尝试用这个存储过程：

A N A L Y S E支持两个参数，试试两个参数：

依然无效，尝试在 A N A L Y S E 中插入 sql 语句：

响应如下：

事实证明，s l e e p 没有被执行，最终，我尝试了如下p a y l o a d ：

啊哈，上面的方法就是常见的报错注入，所以，如果注入点支持报错，那所有问题都ok，但是如果注入点不是报错的，还可以使用 t i m e - b a s e d 的注入，p a y l o a d 如下：

有意思的是，这里不能用s l e e p而只能用 B E N C H M A R K。