信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
议题作者： ゛小︷帅！﹊

不知道列名，看网站的样子是个人自己做的，也比较大。但是存在php注入。
用的是支持union查询的mysql（术语不专业勿笑！）

复制内容到剪贴板

代码:

union select TABLE_SCHEMA,TABLE_NAME,COLUMN_NAME from information_schema.STATISTICS/*

出现sq_blmk、bbs、b_id
当我提交

复制内容到剪贴板

代码:

an 1=2 union select b_id,2,3 from bbs /*

返回一个10，就是1那个位置被代替了

复制内容到剪贴板

代码:

and 1=2 union select 1,2,3 from bbs where b_id=10 /*

我实在找不到。后台的原文件里的2个列名不对，看起来是正常的，但是就是不对的

复制内容到剪贴板

代码:

{
  if (ltrim(document.login_form.pma_username.value)=="") {
    alert("请填写您的帐户ID!");
    return false;
  }else if (ltrim(document.login_form.pma_password.value)=="") {
    alert("请填写您的登陆密码!");
    return false;
  }else {
    document.login_form.action="login.php";
    document.login_form.method="post";
    return true;
  }
}

列名带进去无法返回。
SO，小菜不知道下步怎么解决，是否可以用模糊查找？
ps:账号看起来不是root权限的。
用loadfile()读过了。没反应……
当然，HDSI，什么什么的工具+字典也试了，还是不行。
留言存在xss跨站。
在那钓鱼就算了，我也没那个闲情，学这个php注入花了3天，阅读了大量的文献资料。
实在不行，我可能要用社会工程学。不排除（见笑！）
但是……小菜不才，特来请教各位大牛。

试试从information_schema.tables和information_schema.columns里面去暴。
p.s:建议多看看angel他们以前的文章，虽然很老，但是很经典

引用:

试试从information_schema.tables和information_schema.columns里面去暴。

暴不出。

看来我得继续看文章去了。

谢谢你提供的一些思路和参考，小菜感激不尽。

先用union%20select%200,1,TABLE_NAME,3,4%20FROM%20INFORMATION_SCHEMA.TABLES--把所有的表暴出来
再用union%20select%200,1,COLUMN_NAME,3,4%20FROM%20INFORMATION_SCHEMA.COLUMNS%20WHERE%20TABLE_NAME=要查询的表名
屡试不爽

如果知道路径的话，用经典注射是能够读出源码的。很多时候由于页面关系显示不出代码，其实一般基本可以loadfile()。
其实一般情况MYSQL4以上加上路径的话基本可以搞，不过MYSQL3我就一直搞不来

引用:

如果知道路径的话，用经典注射是能够读出源码的。很多时候由于页面关系显示不出代码，其实一般基本可以loadfile()。
其实一般情况MYSQL4以上加上路径的话基本可以搞，不过MYSQL3我就一直搞不来

谢谢你的指导。

但是mysql.

这个是需要root权限的

我所搜到的不是root 权限的

loadfile()
读不出来。

知道路径，就用经典注射读出源码。

这个暴库的前提条件是 数据库版本>5的

引用:

引用第1楼沉渊于2007-12-28 17:12发表的 :
试试从information_schema.tables和information_schema.columns里面去暴。
p.s:建议多看看angel他们以前的文章，虽然很老，但是很经典

相当受用……

To LZ  用user()就可以查看当前连接数据库的用户名了。。

引用:

引用第6楼longhai于2008-01-01 00:35发表的 :
知道路径，就用经典注射读出源码。

不是ROOT用什么读文件？

如果有index of 可以看的话，有些管理员会在/test 等文件夹遗留一些垃圾文件，点开看看，也许会有意外的收获，例如

0) $returnpath=urlencode($PHP_SELF."?".$QUERY_STRING); else $returnpath=urlencode($PHP_SELF); gotoURL("/member/01.htm?returnpath=$returnpath"); } else{ $user = $dbconn->get_query("SELECT * FROM member WHERE id='$HTTP_COOKIE_VARS[member_id]' && name='$HTTP_COOKIE_VARS[member_name]'"); } ?>