waf旁路oracle客户端,WAF Bypass数据库特性（Oracle探索篇）

0x01 背景

oracle与mysql特性类似，半自动化fuzz了一下，记录成果。

0x02 测试

位置一：参数和union之间的位置

1)空白字符

Oracle中可以利用的空白字符有： %00 %09 %0a %0b %0c %0d %20

2)注释符号/**/

3)其他字符

%2e . 点号

位置二：union和select之间的位置

1)空白字符

Oracle中可以利用的空白字符有： %00 %09 %0a %0b %0c %0d %20

2)注释符号/**/

位置三：select和查询参数之间的位置

1)空白字符

Oracle中可以利用的空白字符有： %00 %09 %0a %0b %0c %0d %20

2)注释符号/**/

3)其他字符

%2b +

%2d -

%ad

select * from emp where mgr=7782 union select+NULL,(SELECT banner FROM v$version where rownum=1),NULL,NULL,NULL,NULL,NULL,NULL FROM DUAL

位置四：查询参数和from之间的位置

1)空白字符

Oracle中可以利用的空白字符有： %00 %09 %0a %0b %0c %0d %20

2)注释符号/**/

位置五：from后面的位置

1)空白字符

Oracle中可以利用的空白字符有： %00 %09 %0a %0b %0c %0d %20

2)注释符号/**/

原文：http://www.cnblogs.com/xiaozi/p/6930980.html

waf旁路oracle客户端,WAF Bypass数据库特性（Oracle探索篇）相关推荐

win7 64位系统oracle客户端访问远程数据库
今天将win7 64位系统oracle客户端访问远程数据库配置成功,由于我用的是64位的win7操作系统,在网上查了很多资料都说在64位系统下oracle客户端配置很复杂,于是自己亲手试了一下成功了, ...
oracle提交数据按键,Oracle PLSQL - 仅提交数据库链接(Oracle PLSQL - Commit only database link)...
Oracle PLSQL - 仅提交数据库链接(Oracle PLSQL - Commit only database link) 有没有办法只通过数据库链接而不是当前会话的数据提交在表上插入/更新的 ...
免安装Oracle客户端使用PL/SQL连接Oracle
免安装Oracle客户端使用PL/SQL连接Oracle 大家都知道,用PL/SQL连接Oracle,是需要安装Oracle客户端软件的.有没要想过不安装Oracle客户端直接连接Orac ...
WAF Bypass数据库特性（Mysql探索篇）
0x01 背景 Mysql数据库特性探索,探索能够绕过WAF的数据库特性. 0x02 测试常见有5个位置即: SELECT * FROM admin WHERE username = 1[位置一 ...
oracle 客户端_【数据库常见术语1】客户端，服务端
这个系列会介绍并回顾在学习和工作中常碰到的一些名词,以及它们的意思. 客户端,服务端(以Oracle数据库为例) ******************************************* ...
Windows端安装Oracle客户端并配置服务、Oracle数据库备份还原以及修改数据库编码
配置客户端服务 1.安装Oracle客户端步骤省略... 2.点击[开始菜单]-> [Oracle] -> [Net Configuration Assistant] 3.[本地 Net ...
不同版本的Oracle客户端支持的数据库版本
下表简单介绍不同版本的客户端支持的数据库版本 Client 版本支持的数据库版本 18和12.2 11.2及以上版本 12.1 10.2及以上版本 11.2 9.2及以上版本
linux下安装oracle客户端，实现远程连接oracle库，导出数据表
工作中用到不安装oracle服务端,只安装客户端. 一:首先要到下载rpm包,使用如下,命令安装 rpm -ivh oracle/oracle-instantclient11.2-basic-11.2 ...
oracle客户端没有tnsnames,安装好Oracle Client以后没有tnsnames.ora文件
安装好Oracle Client以后没有tnsnames.ora文件安装完Oracle Client以后,发现相应目录中没有tnsnames.ora文件,其实只要手动建立一个就可以了. 在 orac ...
plsql必须安装oracle客户端吗,不安装oracle客户端，用plsql连接oracle
工具连接:http://pan.baidu.com/s/1nvbWlqL 常用的Oracle开发的工具有sql Developer和PL/sqlDeveloper,个人感觉前者虽然跨平台性优于后者,但 ...

waf旁路oracle客户端,WAF Bypass数据库特性（Oracle探索篇）

waf旁路oracle客户端,WAF Bypass数据库特性（Oracle探索篇）相关推荐

最新文章

热门文章