Oracle-报错注入

最新推荐文章于 2023-04-01 02:00:33 发布

弈-剑

最新推荐文章于 2023-04-01 02:00:33 发布

阅读量592

点赞数

分类专栏：渗透测试文章标签：信息安全渗透测试

本文链接：https://blog.youkuaiyun.com/weixin_45634365/article/details/114388585

版权

本文介绍了Oracle数据库的基础知识，强调了其在金融领域的广泛应用。接着解析了Oracle中的注入函数，特别是报错注入的原理，并提供了防御Oracle注入的策略，包括输入校验、避免动态SQL、权限管理和异常处理等措施。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、Oracle数据库简介

Oracle数据库系统，是美国ORACLE公司（甲骨文）提供的以分布式数据库为核心的一组软件产品，是一种关系数据库，数据库体量较大，一般与jsp网站联合。

常见的数据库：MySQL、MSSQL、Access、Oracle

Oracle使用免费，但如果使用中的数据库遇到了问题，例如数据丢失、数据库打不开等等，想要解决问题，就必须寻找Oracle官方的服务，而服务价格不菲，而这就是Oracle的盈利方式。

Oracle比MySQL、MSSQL、Access更为先进，对大数据的处理能力更强大，银行、证券等与金融有关的数据库很大一部分都是Oracle，但随着近几年掀起的反Oracle浪潮，渐渐地有一部分公司开始使用MySQL，按照这个趋势，以后MySQL会越来越多，Oracle会越来越少，同时，在公司上市前使用Oracle是免费的，但上市之后，Oracle就会收费，否则就会起诉该公司。

当然，Oracle的市场份额还是相当高的。

二、注入函数解析

Oracle使用查询语句获取数据时需要添加表名，没有表的情况下可以使用dual，dual是Oracle的虚拟表，只是用来构成select的语法规则。

dual是Oracle所特有的。

#MySQL容错性较强，可以不构成严谨的结构
select 1,2,3

#Oracle语法规则较为严谨
#dual是一个为了满足语法结构而产生的表
select 1,2,3 from dual

#如果直接查询dual，它只显示一个X，列名为DUMMY
select * from dual

Oracle弱化了库的概念，将其转化为了用户、表、字段、字段内容，可以简单地将用户类比为库。

#Oracle有许多的系统函数

#查看当前登录的用户名
#user是Oracle的关键字
#写其他存在与Oracle中的表名，一样可以查询出当前的用户名
select user from dual
select user from admin

#可以进行运算
select 10-1 from dual

#dbms_random.random是Oracle的系统函数，