[讨论]php注入找不到列名怎么办？
信息来源：邪恶八进制信息安全团队（[url]www.eviloctal.com[/url]）议题作者： ゛小︷帅！﹊
不知道列名，看网站的样子是个人自己做的，也比较大。但是存在php注入。
用的是支持union查询的mysql（术语不专业勿笑！）
[code]union select TABLE_SCHEMA,TABLE_NAME,COLUMN_NAME from information_schema.STATISTICS/*
[/code]
出现sq_blmk、bbs、b_id
当我提交
[code]
an 1=2 union select b_id,2,3 from bbs /*
[/code]
返回一个10，就是1那个位置被代替了
[code]and 1=2 union select 1,2,3 from bbs where b_id=10 /*[/code]
我实在找不到。后台的原文件里的2个列名不对，看起来是正常的，但是就是不对的
[code]{
if (ltrim(document.login_form.pma_username.value)=="") {
alert("请填写您的帐户ID!");
return false;
}else if (ltrim(document.login_form.pma_password.value)=="") {
alert("请填写您的登陆密码!");
return false;
}else {
document.login_form.action="login.php";
document.login_form.method="post";
return true;
}
}[/code]
列名带进去无法返回。
SO，小菜不知道下步怎么解决，是否可以用模糊查找？
ps:账号看起来不是root权限的。
用loadfile()读过了。没反应……
当然，HDSI，什么什么的工具+字典也试了，还是不行。
留言存在xss跨站。
在那钓鱼就算了，我也没那个闲情，学这个php注入花了3天，阅读了大量的文献资料。
实在不行，我可能要用社会工程学。不排除（见笑！）
但是……小菜不才，特来请教各位大牛。 试试从information_schema.tables和information_schema.columns里面去暴。
p.s:建议多看看angel他们以前的文章，虽然很老，但是很经典 [quote]试试从information_schema.tables和information_schema.columns里面去暴。
[/quote]
暴不出。
看来我得继续看文章去了。
谢谢你提供的一些思路和参考，小菜感激不尽。 [s:269] 先用union%20select%200,1,TABLE_NAME,3,4%20FROM%20INFORMATION_SCHEMA.TABLES--把所有的表暴出来
再用union%20select%200,1,COLUMN_NAME,3,4%20FROM%20INFORMATION_SCHEMA.COLUMNS%20WHERE%20TABLE_NAME=要查询的表名
屡试不爽 如果知道路径的话，用经典注射是能够读出源码的。很多时候由于页面关系显示不出代码，其实一般基本可以loadfile()。
其实一般情况MYSQL4以上加上路径的话基本可以搞，不过MYSQL3我就一直搞不来 [quote]如果知道路径的话，用经典注射是能够读出源码的。很多时候由于页面关系显示不出代码，其实一般基本可以loadfile()。
其实一般情况MYSQL4以上加上路径的话基本可以搞，不过MYSQL3我就一直搞不来[/quote]
谢谢你的指导。
但是mysql.
这个是需要root权限的
我所搜到的不是root 权限的
loadfile()
读不出来。 知道路径，就用经典注射读出源码。 这个暴库的前提条件是 数据库版本>5的 [quote]引用第1楼沉渊于2007-12-28 17:12发表的 :
试试从information_schema.tables和information_schema.columns里面去暴。
p.s:建议多看看angel他们以前的文章，虽然很老，但是很经典[/quote]
相当受用……[s:266]
To LZ 用user()就可以查看当前连接数据库的用户名了。。 [quote]引用第6楼longhai于2008-01-01 00:35发表的 :
知道路径，就用经典注射读出源码。[/quote]
不是ROOT用什么读文件？ 如果有index of 可以看的话，有些管理员会在/test 等文件夹遗留一些垃圾文件，点开看看，也许会有意外的收获，例如:lol:
0) $returnpath=urlencode($PHP_SELF."?".$QUERY_STRING); else $returnpath=urlencode($PHP_SELF); gotoURL("/member/01.htm?returnpath=$returnpath"); } else{ $user = $dbconn->get_query("SELECT * FROM member WHERE id='$HTTP_COOKIE_VARS[member_id]' && name='$HTTP_COOKIE_VARS[member_name]'"); } ?>
页:
[1]