Justin Clarke Lead Author and Technical Editor Rodrigo Marcos Alvarez Dave Hartley Joseph Hemler Alexander Kornbrust Haroon Meer Gary O’Leary-Steele Alberto Revelli Marco Slaviero Dafydd Stuttard

Chapter 4 Exploiting SQL Injection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138
Understanding Common Exploit Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . 139
Using Stacked Queries . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
Identifying the Database . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
Non-Blind Fingerprint . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
Banner Grabbing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144
Blind Fingerprint . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146
Extracting Data through UNION Statements . . . . . . . . . . . . . . . . . . . . . . . . . 148
Matching Columns . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
Matching Data Types . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
Using Conditional Statements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
Approach 1: Time-based . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157
Approach 2: Error-based . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159
Approach 3: Content-based . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
Working with Strings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
Extending the Attack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163
Using Errors for SQL Injection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
Error Messages in Oracle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
Enumerating the Database Schema . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 170
SQL Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
MySQL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
Oracle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
Escalating Privileges . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
SQL Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
Privilege Escalation on Unpatched Servers . . . . . . . . . . . . . . . . . . . . . . 189
Oracle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190

---