SQL injection attack, listing the database contents on Oracle

はじめに

「SQL injection attack, listing the database contents on Oracle」のWriteupです。

portswigger.net

Summary

• Oracleにおける information.schema 相当のテーブル
  • information_schema.tables : ALL_TABLES
  • information_schema.columns : ALL_TAB_COLUMNS

以下のドキュメントでは「静的データディクショナリビュー」のひとつとして紹介されています。

docs.oracle.com

Writeup

今回の目的は、administratorとしてサイトにログインすることです。前回同様、テーブル名とカラム名の提示はありません。

列数、それぞれの型は前回と同じだろうという見立てのもと、横着して ALL_TABLES の確認から始めます。 USERS_WLTIJK というテーブルがあることが分かりました。

次はカラム名を確認するために、 ALL_TAB_COLUMNS を確認します。 USERNAME_POPCKP と PASSWORD_ZCWMZO でした。

あとはそれぞれのカラムの値を USERS_WLTIJK テーブルから取得します。

ログインできました。