java - Oracle DB - 奇怪的 sql 注入

Question

在对网站进行渗透测试时（是的，合法的），弹出了一个 sql 注入，但我目前看不到如何使用它。查询字符串如下所示，插入点位于值之后的第一个 _ 处：

query = 'SELECT  item.a 
           FROM favitem item 
          WHERE ( item.a =?) AND (item.b=? )', values = [123456789_, 987654321]

一个简单的

, 1] UNION SELECT banner FROM v$version WHERE banner LIKE 'Oracle%'; -- 

不返回任何值，但表示它是成功的。当它包含 '%' 时总是成功的，即使是在根本不可能匹配的随机字符串上也是如此。当它声明LIKE 'Oracle'（不带%）时，它会返回一个错误。任何建议为什么这总是成功的%？

Answer 1

找到注入是一回事，但要求社区为你写一个漏洞利用 - 是另一回事。

所以，如果你发现了它 - 只需报告。这就是渗透测试的用途。