SQL注射取資料的方式有多種：

1. 利用union select查詢直接在頁面上返回資料，這種最為常見，一個前提是攻擊者能夠構造閉合的查詢。
2.  Oracle中利用監聽UTL_HTTP.request發起的HTTP請求，把QuerySet反彈回攻擊者的主機。當然，HTTP伺服器對URL的長度有一定限制，因此每次可返回的資料量不可過多。
3.  基於錯誤訊息取資料，前提是頁面能夠響應詳細的錯誤描述。它的一個優點是，我們可能不必太費力去猜測和閉合SQL(可以構造子查詢，讓MySQL在子查詢中報錯)。
4.  盲注，頁面不會顯示錯誤訊息。常見基於布林的盲注、基於時間的盲注，此類注射點利用價值相對要低一點，猜解資料的時間較長。

本篇簡單說明非常經典的基於錯誤回顯的MySQL注射。最重要的，就是理解下面的SQL查詢：

select count(*),floor(rand(0)*2)x from information_schema.character_sets group by x;

上面的這條SQL將報錯: Duplicate entry '1' for key 'group_key'

如下圖

1. 為什麼MySQL注射要用information_schema庫？

答案是這個庫是MySQL自帶的，安裝之後就建立好了，所有賬號都有許可權訪問。攻擊者無需猜解庫名、表名。跟Oracle注射使用dual類似。

2. 如何利用報錯取資料？

利用報錯，攻擊者把目標資料concat連線到floor()函式的前後即可。

例如，下面的語句用於獲取MySQL Server版本，構造：

mysql> select count(*),concat( floor(rand(0)*2), 0x5e5e5e, version(), 0x5e5e5e) x from information_schema.character_sets
group by x;
ERROR 1062 (23000): Duplicate entry '1^^^5.5.28^^^' for key 'group_key'

通過報錯，即可知道當前資料庫是5.5.28。0x5e5e5e是3個尖括號的16進製表示。 自動化SQL注射工具通常會在目標資料前後做類似的標記，方便程式提取。

加上標記，也可以方便攻擊者在大的頁面中搜索。

3. 為何這條語句會報錯?

rand(0)是把0作為生成隨機數的種子。首先明確一點，無論查詢多少次，無論在哪臺MySQL Server上查詢，連續rand(0)生成的序列是固定的。