攻防演练工具 | Oracle数据库getshell的另一种思路
💡
原文中文，约1500字，阅读约需4分钟。
📝
内容提要
这篇文章介绍了一个半自动化的Oracle数据库利用工具，用于获取主机控制权限。工具的设计思路是通过在IIS服务的根目录下写入webshell来实现getshell。文章还分享了工具的开发过程和实现方法。
🎯
关键要点
- 工具的开发起因于一次攻防演练中发现Oracle数据库的弱口令。
- 工具旨在节约时间，通过半自动化方式实现getshell。
- 设计思路基于特定场景，利用Oracle数据库的system权限获取主机控制权限。
- Oracle数据库的字符串截断机制限制了直接执行操作系统命令的能力。
- 通过在IIS服务的根目录下写入webshell成功获取主机控制权限。
- 开发过程强调了根据经验判断web应用存储路径的重要性。
- 工具的实现过程包括创建和编译Java源代码以获取操作系统信息。
➡️
