欧美精品一区二区,体育生GAY白袜调教VIDEO,私人影院播放器,色偷偷AV老熟女色欲涩爱

?
內(nèi)容中心
按關(guān)鍵字查找
淺析Oracle數(shù)據(jù)庫(kù)的安全機(jī)制缺陷
作者:安華金和 發(fā)布時(shí)間:2017-01-22

2016年3月8日,某電商平臺(tái)的ERP 系統(tǒng)遭到黑客攻擊,事件中使用的SQL注入攻擊是數(shù)據(jù)庫(kù)安全攻擊中幾乎最常見的SQL注入?;诎踩A金和數(shù)據(jù)庫(kù)安全攻防實(shí)驗(yàn)室的技術(shù)分析和模擬攻擊過程還原,SQL注入點(diǎn)可能來自O(shè)racle數(shù)據(jù)庫(kù)自身的三個(gè)安全機(jī)制缺陷。

缺陷1: oracle數(shù)據(jù)庫(kù)自身的存儲(chǔ)過程和函數(shù)調(diào)用的權(quán)限機(jī)制存在安全隱患

用戶調(diào)用pl/sql子程序的時(shí)候,程序在訪問所涉及到的底層對(duì)象(包括表格等)時(shí),用戶不必?fù)碛性L問這些對(duì)象的權(quán)限,只需要用戶有該存儲(chǔ)過程的執(zhí)行權(quán)限即可;而執(zhí)行時(shí)是參照的是該子程序定義者的權(quán)限。

簡(jiǎn)單說就是如果用創(chuàng)建者只有創(chuàng)建權(quán)限,沒有執(zhí)行權(quán)限那么即便用sys賬號(hào)也依舊無法執(zhí)行。因?yàn)閳?zhí)行定義者權(quán)限模式的子程序的時(shí)候。在子程序中當(dāng)前賬號(hào)權(quán)限和創(chuàng)建該子程序用戶權(quán)限一致。雖然這給oracle帶來了很大的靈活性,但是會(huì)有很大的安全隱患。就像上文的例子一樣。黑客可以利用子程序獲得和子程序創(chuàng)建者一樣高的權(quán)限,再以高權(quán)限執(zhí)行惡意代碼。黑客可以通過這種手段獲得DBA賬號(hào)、甚至控制整個(gè)oracle。

缺陷2:oracle中有些系統(tǒng)函數(shù)的參數(shù)對(duì)輸入類型和長(zhǎng)度缺乏控制,導(dǎo)致形成注入點(diǎn)。對(duì)于這種oracle缺乏控制的的函數(shù)的參數(shù)需要進(jìn)一步約束。約束的方法可以等待oracle進(jìn)行補(bǔ)丁修復(fù)后進(jìn)行補(bǔ)丁升級(jí),也可以通過數(shù)據(jù)庫(kù)防火墻對(duì)特定函數(shù)使用的范圍做一定的限制。

缺陷3:Oracle自身存在系統(tǒng)存儲(chǔ)過程或函數(shù)自身存在提權(quán)漏洞

這些系統(tǒng)性的存儲(chǔ)過程或函數(shù)需要調(diào)用者的權(quán)限很低,但通過注入的方式,完成將調(diào)用者的權(quán)限提升到dba,如:

SYS.LT.COMPRESSWORKSPACETREE、SYS.DBMS_CDC_IMPDP.BUMP_SEQUENCE、SYS.KUPW$WORKER.MAIN、CTXSYS.DRILOAD.BUILD_DML等。

通過以上對(duì)Oracle數(shù)據(jù)庫(kù)安全機(jī)制缺陷的分析,希望能夠?qū)racle用戶提供安全防護(hù)思路。對(duì)于功能強(qiáng)大的數(shù)據(jù)庫(kù)系統(tǒng)來說,容易存在SQL注入點(diǎn),通過在數(shù)據(jù)庫(kù)層部署專業(yè)的安全防護(hù)產(chǎn)品,能夠更直接有效的避免此類安全事件的發(fā)生。


?
rape强行asian真实| 又硬又粗又长又大时间持久| 性一交一无一伦一精一品| 国产成人av| 性做久久久久久久| 老妇性hqmaturetube| 自w到高c的25种方法带图| 国色天香一卡2卡三卡4卡乱码| 国产成人无码av| 天堂VA蜜桃一区二区三区| 五月香丁激情欧美啪啪| 国精产品一二三区传媒公司| 日本va欧美va精品发布| 揉腿却揉到两腿之间是湿的| 乳尖乱颤娇喘连连a片在线观看| 一边捏奶头一边啪高潮会怎么样| 欧美老熟妇又粗又大| 欧美人与劲物xxxxz0oz| 午夜福利不卡片在线播放| caoporn免费视频在线| 国产精品成人第一区二区三区| 精品亚洲AV无码一区二区| 熟妇内谢69xxxxxa片| 亚洲色成人WWW永久网站| old老太videos老妇| 成人片色情免费观看网站| 表妺好紧竟然流水了在线观看| 体育生gary猛烈gary| 豆国产97在线 | 亚洲| 欧美日韩免费观看| 欧美肥妇bwbwbwbxx小说| 欧洲-级毛片内射| 国产精品无码亚洲AV一区| 美女性爽视频国产免费app| 欧美日韩亚洲精品瑜伽裤| 免费看美女被靠到爽的视频| 国产香蕉尹人视频在线| 狂c亲女的文h| 亚洲AV无一区二区三区久久| 国产麻豆精东果冻乌鸦传媒| 性疼痛tube小坳交hd|