报错注入

# 目录
[TOC]
# 报错注入

## count()函数

### 一、函数原理

#### 1.1、SQL count() 语法

##### SQL count(column_name) 语法

`COUNT(column_name)` 函数返回指定列的值的数目（NULL 不计入）：

```sql
SELECT COUNT(column_name) FROM table_name
```

##### SQL count(*) 语法

`COUNT(*)` 函数返回表中的记录数：

```sql
SELECT COUNT(*) FROM table_name
```

##### SQL count(DISTINCT column_name) 语法

`COUNT(DISTINCT column_name)` 函数返回指定列的不同值的数目：

```sql
SELECT COUNT(DISTINCT column_name) FROM table_name
```

注意：COUNT(DISTINCT) 适用于 ORACLE 和 Microsoft SQL Server，但是无法用于 Microsoft Access。

#### 1.2、虚表栗子：

countI()函数会创建以下续表，将会统计每一个值出现的次数：

| key  | 次数 |
| ---- | ---- |
| 苹果 | 21   |
| 香蕉 | 33   |
| 芒果 | 66   |

### 二、报错原理

虚表中的key值为唯一，如果出现重复就会报错

随机函数：

```sql
rand() -- 会随机0-1之间的数值floor() -- 返回等于或小于x的最大整数floor(rand()*2) -- 随机返回0,1的整数select floor(rand()*2) FROM user;
```

[![img](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101645421771594371577867.png)](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101645421771594371577867.png)

通过`countl()`查询`floor(rand()*2)`

```sql
select floor(rand()*2), count(*) from user group by floor(rand()*2);
```

[![img](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101646477791594371586826.png)](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101646477791594371586826.png)

有时会报错，这是为什么呢

看如下表就知道了：

| key                | 次数 |
| ------------------ | ---- |
| `floor(rand()*2)`1                  | 1 |
| `floor(rand()*2)`0 | 1  |
| `floor(rand()*2)`1==（报错group_key重复）== | 1    |

`countl()`在统计的时候，不光只是将随机生成的数值统计进去了，而是将整个函数给统计进去了，然后在虚表内计算随机数。

出现以下情况就会报错

[![img](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101654010861594371596935.png)](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101654010861594371596935.png)

### 三、固定报错

`rand()`加上种子0即可生成固定头为

[![img](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101655516501594371606611.png)](https://assets.baklib.com/8fbde4a1-8dda-41b8-a3f7-53fe266fba50/image-202007101655516501594371606611.png)

```sql
select floor(rand(0)*2), count(*) from user group by floor(rand(0)*2);
```

### 四、回显方法

目前还没找到