高级Mysql攻击技术(翻译blackhat 2009文章)

韩小末

Mysql是在LAMP和WAMP上最流行的数据库服务器软件套件。DBMS连接默认是不支持堆查询。这就使得一些技术去实施远程代码执行漏
下面的就是再SQL注入攻击中的一个堆查询的例子
SELECT name FROM record WHERE id = 1; DROP table record; DROP table address--
2)把本地文件的内容进行对等的16进制的转换。
3)切分16进制的字符串到1024字符长的大块
4)INSERT 第一个大块进支持表的字段里面
5)UPDATE其他的大的块添加到这个表的字段里面
6)导出表中的字段中的16进制的文件的内容到一个指定的目标文件路径,使用的方法是SELECT's INTO DUMPFILE.再Mysql上这个是可
2) Session用户必须有FILE,INSERT,CREATE和UPDATE权限
3)再一些低于Mysql 5.1.19的版本中，工项目路径必须对于Session用户可写。
4)再高于Mysql 5.1.19的版本上，系统变量plugin_dir必须存在并且对于Session用户可写。
例如
SELECT content FROM data WHERE id=21 UNION SELECT 0x8A789C....... INTO DUMPFILE ‘file’
2)Session用户必须有FILE权限
3)Session用户可以访问上传到WEB SERVER服务器的目录的文件。
自己补充一个4) GPC为off
on line 15
6.2通过LOAD_FILE方式获得指纹
LOAD_FILE可以去读取数据库服务器上的文件。去使用这个过程，Session用户必须有文件权限。这个文件同时对于所有用户可取同时
例如
SELECT name, add, content FROM data WHERE id=21 UNION SELECT NULL,NULL,
0x8A789C....... INTO DUMPFILE ‘file’
第一个的查询的结果将会加入到我们的文件中。我们再第五部分讲过，我们可以再WHERE字段插入任意不存在的值，所以再第一个查
SELECT name, add, content FROM data WHERE id=4444 UNION SELECT
0x8A789C.........,0x00,0x00 INTO DUMPFILE ‘file’
另外一种方式是SELECT name, add, content FROM data WHERE id=4444 UNION SELECT 0x8A,
0x78,0x9CED......9EEC....... INTO DUMPFILE ‘file’
http://en.wikipedia.org/wiki/LAMP_(software_bundle)
[2] WAMP
http://en.wikipedia.org/wiki/WAMP
[3] St acked Quer i es
http://www.sqlinjectionwiki.com/Default.aspx?Page=Stacked%2
0Query&AspxAutoDetectCookieSupport=1
[4] MySQL 5.1 Ref e renc e Manual : Adding New
Funct ions
http://dev.mysql.com/doc/refman/5.1/en/adding-functions.html
[5] Dat abase Hacke r ’ s Handbook
http://www.ngssoftware.com/press-releases/database-hackershandbook-
published/
[6] Advanc ed SQL Inj e ct ion Exploi t at ion to Ope r at ing
Sys t em Ful l Cont rol
http://www.blackhat.com/presentations/bh-europe-
09/Guimaraes/Blackhat-europe-09-Damele-SQLInjectionslides.
pdf
[7] MySQL 5.1 Ref e renc e Manual : INSERT Synt ax
http://dev.mysql.com/doc/refman/5.1/en/insert.html
[8] MySQL 5.1 Ref e renc e Manual : UPDATE Synt ax
http://dev.mysql.com/doc/refman/5.1/en/update.html
[9] MySQL 5.1 Ref e renc e Manual : SELECT Synt ax
http://dev.mysql.com/doc/refman/5.1/en/select.html
[10] MySQL 5.1 Ref er ence Manual : Pr ivi l eges
Provided b y MySQL
http://dev.mysql.com/doc/refman/5.1/en/privilegesprovided.
html
[11] MySQL 5.1 Ref er ence Manual : CREATE
FUNCTION Syntax
http://dev.mysql.com/doc/refman/5.1/en/create-functionudf.
html
[12] Shared Libra r y
http://en.wikipedia.org/wiki/Library_(computing)#Shared_librari
es
[14] MySQL 5.1 Ref er ence Manual : UNION s ynt ax
http://dev.mysql.com/doc/refman/5.1/en/union.html
[15] PHP Sys t em Funct ion
http://ar.php.net/system
[16] MySQL 5.1 Ref er ence Manual : St r ing Funct ions
http://dev.mysql.com/doc/refman/5.1/en/string-functions.html
[17] Apache Core Fe atur es
http://httpd.apache.org/docs/2.1/mod/core.html#documentroot
[18] PHP Zl ib Funct ions
http://www.php.net/manual/en/ref.zlib.php
[19] PHP gz compr es s Funct ion
http://www.php.net/manual/en/function.gzcompress.php
[20] PHP gzuncompr es s Funct ion
http://www.php.net/manual/en/function.gzuncompress.php
[21] Adl er32 Che cksum
http://en.wikipedia.org/wiki/Adler-32
[22] RFC 1950
http://tools.ietf.org/html/rfc1950
本文出自 51CTO.COM技术博客