从黑客角度检验oracle数据库

核心提示：一 State of Oracle Security （oracle的安全状态）1 来之媒体的报道：超过十分之一的于internet上公司数据库有安全隐患，一份来之750家美国数据库开发商开始对数据库安全表示忧虑，从黑客角度检验oracle数据库，2 黑客世界的秘密：讨论会对数据库被黑的报道增多，– Bla

一 State of Oracle Security （oracle的安全状态）

1 来之媒体的报道：

超过十分之一的于internet上公司数据库有安全隐患。一份来之750家美国数据库开发商开始对数据库安全表示忧虑。

2 黑客世界的秘密：

讨论会对数据库被黑的报道增多。

– Blackhat, Defcon Expliots 蠕虫侵蚀着数据库

– Alpha Voyager

– Spida worm

攻击oracle的白皮书

3 oracle网站－Alerts Web page

http://otn.oracle.com/deploy/securi...Info&alerts.htm

 Prior to July 2000

－One vulnerability acknowledged by Oracle

 From July 2000 to August 2002

－41 vulnerability reports on the Oracle website

 Vulnerabilities reported on

SecurityFocus.com

－About 75 vulnerabilities reported about Oracle

4 防火墙后边神秘的oracle是安全的

大多数的折衷安全是内部工作的结果

内部威胁是最危险的

数据库中的非特权用户

5 面对这样状况我们要做什么

对漏洞的修复

警惕风险和威胁

找到正确的解决方案

二 Securing the Listener service

1 监听（listener）的脆弱

监听是客户端和数据库的代理

重要性：

i） 分离了鉴定和审核

ii） 以一个独立的进程运行

iii） 接受命令执行数据库的外部任务

监听服务的脆弱性

在客户端和数据库建立的连接进程中，监听作为一个代理。客户端指向对监听的一个连接，监听依次来和数据库进行连接握手。

问题存在于监听分离了鉴证，被外部数据库控制管理。监听作为一个独立的进程，在过去称为UID，接受命令执行任务。