【SQL注入-13】利用SQL注入漏洞读写文件案例

1 读写文件的前提条件

我们也可以利用SQL注入漏洞读写文件。但是读写文件需要一定的条件。

1.1 secure-file-priv参数

利用SQL注入漏洞进行文件读写，需要后台数据库开启一定的设置。

1.1.1 作用

secure-file-priv参数是用来限制LOAD DATA, SELECT … OUTFILE, and LOAD_FILE()传到哪个指定目录的。
secure_file_priv参数配置及含义如下：

secure_file_priv参数配置	含义
secure_file_priv=null	表示限制mysqld 不允许导入或导出
secure_file_priv='/tmp/ ’	表示限制mysqld 的导入或导出只能发生在/tmp/目录下
secure_file_priv=	表示不对mysqld 的导入或导出做限制

1.1.2 secure-file-priv参数值的查看

1.1.2.1 远程查看

该参数可以 远程登录数据库后台管理页面中查看（在phpMyAdmin）。

• 浏览器中访问数据库后台管理页面（phpMyAdmin）并登录。
• 点击变量，在搜索框中查找(输入sec并回车)，就可以搜索出secure-file-priv参数，我们看到这里参数的值是null，也就是说不允许导入导出。
  
  

1.1.2.2 本地查看

在安装有数据库的系统上登录数据库后,通过命令查看 ，

• 在cmd窗口登录数据库。先cd到安装mysql的文件夹中cd C:\phpStudy\PHPTutorial\MySQL\bin，再使用命令mysql -u root -proot回车（用的是phpstudy默认的账号密码登录）。
• 查找secure-file-priv参数。输入命令：show global variables like '%secure%'，可以看到secure-file-priv参数的值是null，也就是说不允许导入导出。
  

1.1.3 secure-file-priv参数值的更改

该参数无法通过远程方式进行更改，只能通过修改配置文件进行更改。具体操作步骤如下：
（1）打开my.ini配置文件。进入mysql的安装文件夹，找到里面的my.ini配置文件，以记事本或VS code等方式打开编辑。

（2）在[mysqld]内增加secure_file_priv =，保存文件退出，并重启phpstudy。

（3）刷新后再次查看，可以看到secure-file-priv参数为空，表示允许导入导出操作。

1.2 当前用户具有文件权限

注意，想要完成导入导出操作，需要当前用户具有相应文件权限。
使用命令select file_priv from mysql.user where user="root" and host="localhost";查询当前用户是否具有文件权限。

1.3 需要知道文件的绝对路径

读取和写入文件时需要知道文件的绝对路径。

2 读取和写入文件

2.1 读取文件

使用load_file()函数读取文件，需要使用绝对路径。

不同系统的绝对路径示意：

• windows路径：C:\Windows\System32\config\SAM
• Linux路径：C:/Windows/System32/config/SAM

注入命令例如：?id=1 union select 1,load_file(‘C:\Windows\System32\config\SAM’),3。读取文件时采用联合查询的方式。

2.2 写入文件

使用select……into_outfile'绝对路径'导入数据到pc的指定目录下。
注入命令例如：?id=-5 union select 1,'<?php phpinfo();?>',3 into_outfile 'C:\\phpStudy\\PHPTutorial\\WWW\\test.php'。网页可能会报错，不过可能成功了，可以访问试试。

3 读取和写入文件具体实例

3.1 操作环境

实验靶场——虚拟机（IP为172.16.1.1）：本节实验靶场是在win2008系统上基于phpstudy搭建的一个简单网站，win2008及phpstudy的安装过程可以参考《【语言环境】WAMP环境部署及优化—以win2008R2SP1为操作系统》，网站的搭建过程可以参考《【(SQL+HTML+PHP)综合】一个简单论坛网站的综合开发案例》

注入工具——真实机：本实验利用火狐浏览器来实现union注入，为方便注入过程的编码，建议安装一个扩展插件harkbar，安装过程参考《HackBar免费版安装方法》由于该教程中的2.1.3harkbar我安装后无法正常使用，就安装了HackBar Quantum来代替。安装后出现下图左侧的东西。

3.2 操作步骤

3.2.1 判断注入点与注入类型

在该阶段主要是尝试不同的输入参数，根据网页反馈信息来判断是否存在注入点以及注入类型，如是否是字符型还是数值型。
（1）用浏览器访问我们的留言论坛，并点击第一条留言进入测试界面。

（2）将参数修改为?id=5，并刷新，看到页面变化如下，弹出第5条留言内容，由此可推测见后台是根据id参数的不同来反馈不同信息，因此推测留言内容极有可能是存在数据库中，可控参数id与数据库存在交互，很可能存在sql注入。

（3） 当参数为?id=5 and 1=1；返回页面与原页面一致 。通过该参数我们可以分析得到该注入数据类型为数值型，原因如下：

• 猜测为数值型，则后台SQL语句为 select * from table where id=5 and 1=1，where语句判断条件为真且id=5，语句正常执行。
• 猜测为字符型，则后台SQL语句为 select * from table where id=‘5 and 1=1’，where语句将找不到id为‘5 and 1=1’的参数，语句执行失败。
  

3.2.2 判断回显列数和回显位置

（1）修改参数为 ?id=5 union select 1,2,3,4 ，说明原参数回显数据有4列，也可以根据传统方法先用order进行尝试。

（2）修改参数为?id=-5 union select 1,2,3,4，回显结果如下，说明有第2、3、4显示位，可以利用为union联合查询注入。

（3）结论：

• 因为id参数是用户可控的，会随请求带入到数据库中执行并回显相应内容，是一个注入点。
• 根据第3步说明参数为数值型。
• 利用union联合查询有4列数据，其中第2、3、4位能回显。

3.2.3 获取数据库路径

参改参数为?id=-1 union select 1,2,3,@@datadir，通过该命令获取后台数据库的绝对路径，如下：

3.3 读取数据库文件配置

修改参数为?id=-5 union select 1,2,3,load_file('C:\\phpStudy\\PHPTutorial\\MySQL\\my.ini')获取数据库配置文件，并回显到网页上。问题关键转变为如何获取想要文件的路径。

3.4 写入文件

假设我们通过某些方式知道了网站的根目录路径为C:\phpStudy\PHPTutorial\WWW。以后得学学怎么获取到根目录路径。
利用写入文件函数，以后可以写入一句话木马或者PHP探针。此处以PHP探针为例。修改参数注入参数为 ?id=-1 union select 1,2,3,'<?php phpinfo();?>' into outfile "C:\\phpStudy\\PHPTutorial\\WWW\\test.php"，出现页面如下，虽然出现警告，但是我们文件已经成功写入了。

验证下是否写入成功。在浏览器访问目标IP下的文件test.php，成功执行该文件并返回PHP探针信息。

4 总结

（1）利用SQL注入漏洞读写文件既受到数据库secure-file-priv参数设置的制约，又受到用户权限的制约，同时还得知道文件的绝对路径。
（2）掌握利用SQL漏洞进行文件读写的方法。
（3）后续需要进一步了解如何获取网站根目录路径的方法。

参考文章

[1] 《【SQL注入16】SQL漏洞利用之读写文件》