shinobe179の日記

@shinobe179 の技術メモ・やらかし録

SQL injection attack, listing the database contents on Oracle

はじめに

SQL injection attack, listing the database contents on Oracle」のWriteupです。

portswigger.net

Summary

  • Oracleにおける information.schema 相当のテーブル
    • information_schema.tables : ALL_TABLES
    • information_schema.columns : ALL_TAB_COLUMNS

以下のドキュメントでは「静的データディクショナリビュー」のひとつとして紹介されています。

docs.oracle.com

Writeup

今回の目的は、administratorとしてサイトにログインすることです。前回同様、テーブル名とカラム名の提示はありません。

列数、それぞれの型は前回と同じだろうという見立てのもと、横着して ALL_TABLES の確認から始めます。 USERS_WLTIJK というテーブルがあることが分かりました。

f:id:befs_anne:20210425084250p:plain

次はカラム名を確認するために、 ALL_TAB_COLUMNS を確認します。 USERNAME_POPCKPPASSWORD_ZCWMZO でした。

f:id:befs_anne:20210425084323p:plain f:id:befs_anne:20210425084350p:plain

あとはそれぞれのカラムの値を USERS_WLTIJK テーブルから取得します。

f:id:befs_anne:20210425084422p:plain

ログインできました。

f:id:befs_anne:20210425084505p:plain