java - Oracle DB - 奇怪的sql注入(inject)

Question

在对网站进行渗透测试时(是的，合法的)，弹出了sql注入(inject)，但我目前不知道如何使用它。查询字符串如下所示，插入点位于值后的第一个 _ 处:

query = 'SELECT  item.a 
           FROM favitem item 
          WHERE ( item.a =?) AND (item.b=? )', values = [123456789_, 987654321]

简单

, 1] UNION SELECT banner FROM v$version WHERE banner LIKE 'Oracle%'; -- 

不返回任何值，但表明它已成功。当它包含“%”时，即使是在根本不可能匹配的随机字符串上，它也总是成功的。当它声明LIKE 'Oracle'(没有%)时，它会返回错误。有什么建议为什么使用 % 总是成功吗？

Answer 1

找到注入(inject)是一回事，但要求社区为您编写一个漏洞利用程序则是另一回事。

所以，如果您发现了它，请报告。这就是渗透测试的用途。