前言
本人不是一個專業的資料庫管理員，也不是一個專門研究oracle安全的研究員，文中的語句很多都寫得非常不專業，對資料庫理解也不夠，甚至很多語句可能在不同版本上並不適合，一些技術也是牛人們很早提到過的，本文只是從一個web安全的角度來看如何入侵一台被防火牆防護的Oracle資料庫，對一些入侵技術做了web入侵上的總結和延伸，儘量將原理講得明白。本文也並沒有對sql注射中存在的一些共性進行討論 ，如利用substr函數和經典注射這些，而是站在oracle資料庫的角度，儘量展現一些Sql注射入侵的思路以及如何利用資料庫的一些特性，在web上做最大的入侵。一些牛人的工具也即將發佈出來，希望還有人喜歡手工優美的注射。
一、Oracle 簡單介紹
Oracle作為一款比較早期出現的RDBMS資料庫，市場佔有率比較大，經常用在一些大型資料庫上。它本身除了很好地支援各種SQL語句外，還提供了各種豐富的包，存儲過程，甚至支援java和創建library等特性，如此強大的功能為Hacking提供了很好的便利。
Oracle自身有很多預設的帳戶，並且有很多的存儲過程，這些存儲過程是由系統建立的，很多預設都是對public開放的，在過去的幾年裏公佈了很多oracle的漏洞，包括溢出和SQL注射在內的許多漏洞。在這裏面，SQL注射漏洞顯得格外嚴重，因為在Oracle裏，在不加其他關鍵字AUTHID CURRENT_USER的情況下，創建的存儲過程在執行時是以創建者身份執行的，而public對這些存儲過程都有許可權調用，所以一旦自帶存儲過程存在注射的話，很容易讓普通用戶提升到Oracle系統許可權。Oracle本身內置了很多的帳戶，其中一些帳戶都有預設的密碼並且具有CONNECT的許可權，這樣如果oralce的埠沒有受到防火牆的保護又可以被人遠端連接的話，就可以被人利用預設帳戶遠端登陸進系統然後利用系統裏的存儲過程的SQL注射漏洞，系統就會淪陷，當然，登陸進oracle還需要sid，不過這也並不困難，oracle的tnslintener預設沒有設定密碼，完全可以用tnscmd.pl用services命令查出系統的sid（到比較新的版本，這個漏洞已經被修復了），這也是非常經典的入侵oracle的方式。
二、Oracle Web Hacking 技術背景
oracle豐富的系統表。oracle幾乎所有的資訊都存儲系統表裏，當前資料庫執行的狀態，當前用戶的資訊，當前資料庫的資訊，用戶所能訪問的資料庫和表的資訊......系統表就是整個資料庫的核心部分，通過恰當地查詢需要的系統表，幾乎可以獲得所有的資訊。如sys.v_$option就包含了當前資料庫的一些資訊，如是否支援java等，all_tables裏就包含了所有的表資訊，all_tab_colmuns包含所有的列資訊等等，為我們獲得資訊提供了非常大的便利，後面將有關於如何利用系統表獲取敏感資訊的描述。
在oracle的各種漏洞裏，需要特別說下存儲過程的注射，其實也並沒有什麼神秘，存儲過程和函數一樣是接受用戶的輸入然後送到資料庫伺服器解析執行，如果是採取的組裝成SQL字串的形式執行的話，就很容易將資料和命令混淆，導致SQL注射。但是根據注射發生的點不同，一樣地注射漏洞的性質也不同。Oracle使用的是PL/SQL，漏洞發生在select等DML語句的，因為不支持多語句的執行，所以如果想執行自己的語句如GRANT DBA TO LOVEHSELL這些DDL語句的話，就必須創建自己的函數或存儲過程，如果沒有這相關的許可權還可以利用cursor注射，用dbms_sql包來饒過限制。大多數的注射正是上面這些有限制的注射，必須依靠自己創建的一些其他包或者cursor來實現提升許可權的目的，但是還是有些非常少見但是注射環境非常寬鬆的漏洞，就是用戶的輸入被放在begin和end之間的匿名pl/sql塊的注射，這種環境下的注射可以直接注射進多語句，幾乎沒有任何限制，而可以看到，正是這種閃光的漏洞為我們的web注射技術帶來了怎樣的輝煌。
好了，上面談到的都是Oracle的一些攻擊技術，但是現在很多的環境是，對外開放web服務，後臺資料庫被防火牆保護著，無法得到資料庫的太多詳細資訊，已經不能直接登陸進資料庫進行操作，這個時候就要考慮利用web下的漏洞來攻擊後臺的資料庫了。現在來看下如何進行Oracle web環境下注射吧！oracle可以在各種web環境下良好地工作，各種web環境對我們注射的影響也並不是很大，在asp，.net，jsp中對進入的參數基本沒做任何過濾，但是由於.net，jsp語言是強類型語言，在數位類型的注射上即使sql語句沒有做過濾但是可能在接受參數的時候就出錯了，所以注射出現在字串類型的參數上比較多一些。在php環境下，所有的'會被轉義為\'，在oracle環境裏\'並不會成為轉義（在oracle環境裏的正確轉義應該為''），但是在我們自己的注射語句裏使用'會因為被轉成\'而遭到破壞，所以在注射時不能使用'。除此之外，web環境下就沒什麼限制了。在資料庫方面，如果語句採取的是參數的方式執行，也不能夠被注射，除非使用的是字元串連接的方式（由於字元串連接的方式比較簡單，也因為一些歷史上的原因，很多程式師往往會偏向於這種方式，），字元串連接方式的話也會分為兩種，參數在select，update，insert這些DML語句之間，與參數在pl/sql匿名塊之間，如果web程式沒有捕獲錯誤，那麼我們很容易根據錯誤判斷出當前語句的類型，後面會提到。在pl/sql匿名塊之間的比較少見，但也不排除，這樣的注射基本也是沒有什麼限制的，可以執行多語句，做任何事，跟本地登陸沒有任何區別。
三、Oracle Web Hacking 基本思路
下面說說如何確定目標，注射參數的確定就由大家自己來了，主要是如何判斷資料庫屬於oracle，根據資料庫的特性很容易判斷出來，oracle支持--類型注釋，但是不支持;分隔執行多語句，oracle有很多系統表，譬如all_tables，通過對這些表的訪問也可以判斷出是否屬於oracle，另外在oracle裏的一些函數也可以用來判斷，譬如utl_http.request這些，語言上的小細節也可以用來區分系統，譬如在oracle裏||是連接符號，但是在其他資料庫裏就不是了，所以 and chr(123)||chr(123)=chr(123)||chr(123)這樣的，如果可以順利執行，那麼就基本應該是oracle了，另外，一些腳本在出現資料庫查詢錯誤時，對錯誤資訊沒有處理，也會洩露真實的後臺資料庫，這個可以很明顯地看出來。
然後需要確定的是注射點的類型，一般的情況下，我們進入的參數不是數位類型就基本是字元類型（其他很多人所說的搜索型注射其實還是應該歸結於字元類型的），對於數位類型的基本不用考慮什麼，很容易添加--注釋字元就可以讓語句正確閉合了，如果是字元類型的就要考慮如何讓整個語句正確，通常是添加'以及--這些注射字元來構造自己的注射環境。在一些複雜的情況下，如同一個參數在多個sql語句和邏輯裏出現，就要自己小心構造出符合環境的注射語句了，記住，我們只需要一個能便利插入自己sql命令的完好環境：）
在確定目標資料庫為Oracle並且可以注射的時候，就可以開始嘗試構造語句了。一般首先要進行的是判斷當前的許可權，在Oracle資料庫裏許可權比較高的是DBA許可權，擁有Oracle資料庫的所有權限，另外如果當前用戶的許可權授予不對的話，也可以實現跨庫查詢的效果，可以通過對dba_tables這樣的dba的表進行嘗試訪問來測試是否是dba。在一般的注射中，分為select類型注射，insert類型注射以及update類型等。update和insert類型的注射可以根據上下文來更改資料庫中的資料，如利用update注射將表中某個重要欄位更改成我們想要的值，即使這些資料庫無關緊要也沒關係，我們可以利用select子語句來將我們需要的資料查詢出來然後在另外某個地方將這個資料讀出來，只要遵循資料庫的語法，實現自己的目的就可以了。在這裏主要說下select類型的注射，如果我們能控制select語句的一部分的話，就可能實現這種類型注射，如果查詢的結果可以返回到頁面中的時候，還可以嘗試使用union查詢出結果，直接將內容顯示在頁面當中，這是最方便的一種。事實上後面可以看到，無論是什麼注射，在oracle的web環境下，都可以直接執行系統命令返回shell。
