搜索

[6687] 2020-05-04_Oracle软件的安装介质被注入恶意程序事件分析与防御

文档创建者：s7ckTeam
浏览次数：53
最后更新：2025-01-17
2020-05-04_Oracle软件的安装介质被注入恶意程序事件分析与防御 O r a c l e 软 件 的 安 装 介 质 被 注 入 恶 意 程 序 事 件 分 析 与 防 御 E 安 全   2 0 2 0 - 0 5 - 0 4 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 4 c k 1 k N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 去 年 分 析 过 O r a c l e 比 特 币 勒 索 事 件 ， 通 过 在 各 大 下 载 平 台 上 传 恶 意 p l / s q l 安 装 包 。 详 细 链 接 如 下 ： h t t p : / / g r e a t a g a i n . d b a p p s e c u r i t y . c o m . c n / # / b o o k ? i d = 1 9 6 & t y p e _ i d = 1 接 下 来 分 析 的 事 件 与 上 述 事 件 类 似 ， 但 又 有 不 同 。 同 时 在 各 下 载 平 台 上 传 O r a c l e 软 件 的 安 装 介 质 ， 从 而 替 换 恶 意 文 件 p r v t s u p p . p l b ， 达 到 实 现 了 恶 意 代 码 的 注 入 , 从 而 实 现 了 数 据 库 3 0 0 天 之 后 重 启 之 后 无 法 正 常 启 动 而 是 出 现 类 似 O R A - 0 0 6 0 0 :   i n t e r n a l   e r r o r   c o d e ,   a r g u m e n t s :   [ 1 6 7 0 3 ] ,   [ 1 4 0 3 ] ,   [ 2 0 ] ,   [ ] ,   [ ] , [ ] ,   [ ] ,   [ ] ,   [ ] ,   [ ] ,   [ ] ,   [ ] 的 错 误 。 N o . 3 N o . 3 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 故 障 现 象 客 户 对 数 据 库 进 程 重 启 ， 重 启 之 后 数 据 库 就 无 法 启 动 ， 后 台 a l e r t 日 志 就 报 O R A - 0 0 6 0 0   [ 1 6 7 0 3 ] 错 误 。 进 一 步 通 过 1 0 0 4 6 分 析 ， 可 以 发 现 数 据 库 在 启 动 过 程 中 访 问 t a b $ 和 I _ O B J $ 的 时 候 出 现 了 问 题 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
N o . 4 N o . 4 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 故 障 原 理 通 过 分 析 ， 发 现 和 最 近 爆 发 的 O r a c l e 安 装 介 质 被 注 入 恶 意 代 码 有 关 。 检 查 O r a c l e 数 据 库 安 装 目 录 ， 发 现 文 件 p r v t s u p p . p l b 文 件 正 常 和 异 常 的 多 出 来 下 面 的 代 码 ： 正 常 的 : 异 常 的 ：
可 以 看 到 异 常 的 安 装 介 质 包 中 $ O R A C L E _ H O M E / r d b m s / a d m i n / p r v t s u p p . p l b 被 人 注 入 了 多 余 的 代 码 ， 创 建 了 一 个 s t a r t u p 触 发 器 ， 当 数 据 库 重 启 的 时 候 ， 就 会 触 发 该 动 作 。 该 动 作 会 去 执 行 一 个 叫 D B M S _ S U P P O R T _ D B M O N I T O R P 的 存 储 过 程 。 该 存 储 过 程 是 加 密 的 存 储 过 程 。 使 用 解 密 工 具 可 以 查 看 到 该 存 储 过 程 的 内 容 ， 如 下 ： 可 以 看 到 这 段 代 码 的 内 容 就 是 当 系 统 的 当 前 日 志 > 创 建 日 期 3 0 0 天 ， 就 创 建 一 个 叫 O R A C H K 开 头 的 表 对 s y s . t a b $ 执 行 备 份 。 同 时 再 删 除 s y s . t a b $ 表 。 这 段 代 码 是 毁 灭 性 的 ， 数 据 库 重 启 之 后 就 把 基 表 t a b $ 删 除 了 。 再 也 启 动 不 了 。 N o . 5 N o . 5 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 解 决 办 法 目 前 解 决 办 法 有 两 种 ： 1 . 通 过 b b e d 来 恢 复 ， 这 种 恢 复 方 法 相 当 复 杂 。 可 以 看 到 病 毒 对 t a b $ 表 做 了 备 份 ， 可 以 通 过 b b e d 来 读 到 O R A C H K 表 中 的 块 的 数 据 ， 然 后 在 还 原 到 t a b $ 表 中 的 数 据 块 上 。
E X E C U T E   I M M E D I A T E   ' c r e a t e   t a b l e   O R A C H K ' | | S U B S T r ( S Y S _ G U I D , 1 0 ) | | '   t a b l e s p a c e   s y s t e m   a s   s e l e c t   *   f r o m   s y s . t a b $ ' ; 2 . 通 过 D U L 等 抽 取 工 具 来 抽 取 。 数 据 量 大 非 常 耗 费 时 间 。 3 . 使 用 备 份 的 s y s t e m . d b f 文 件 强 行 推 进 s c n 打 开 数 据 库 ， 然 后 把 数 据 导 出 来 。 a l t e r   s y s t e m   s e t   " _ s y s t e m _ t r i g _ e n a b l e d " = f a l s e   s c o p e = b o t h ; a l t e r   d a t a b a s e   o p e n   ; d r o p   T R I G G E R   D B M S _ S U P P O R T _ D B M O N I T O R ; d r o p   P R O C E D U R E   D B M S _ S U P P O R T _ D B M O N I T O R P ; N o . 6 N o . 6 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 预 防 措 施 1 . 根 据 软 件 注 入 的 原 理 ， 需 要 检 查 文 件 $ O R A C L E _ H O M E / r d b m s / a d m i n / p r v t s u p p . p l b ， 看 看 是 否 里 面 包 含 多 余 的 创 建 触 发 器 的 代 码 。 如 果 存 在 ， 需 要 将 问 题 触 发 器 和 存 储 过 程 删 除 。 2 . 检 查 是 否 包 含 触 发 器 D B M S _ S U P P O R T _ D B M O N I T O R 和 存 储 过 程 D B M S _ S U P P O R T _ D B M O N I T O R P 。 定 期 监 控 语 句 更 新 如 下 ： s e l e c t   ' D R O P   T R I G G E R   ' | | o w n e r | | ' . " ' | | T R I G G E R _ N A M E | | ' " ; '   f r o m   d b a _ t r i g g e r s   w h e r e T R I G G E R _ N A M E   l i k e     ' D B M S _ % _ I N T E R N A L %   '   o r   T R I G G E R _ N A M E   l i k e   ' D B M S _ S U P P O R T _ D B M O N I T O R %   ' u n i o n   a l l s e l e c t   ' D R O P   P R O C E D U R E   ' | | o w n e r | | ' . " ' | | a . o b j e c t _ n a m e | | ' " ; '   f r o m   d b a _ p r o c e d u r e s   a w h e r e   a . o b j e c t _ n a m e   l i k e   ' D B M S _ % _ I N T E R N A L %   '     o r   a . o b j e c t _ n a m e     l i k e   ' D B M S _ S U P P O R T _ D B M O N I T O R %   ' ; 参 考 ： h t t p : / / w w w . x i f e n f e i . c o m / 2 0 1 7 / 0 7 / o r a c l e - s o f t w a r e - m a l i c i o u s - i n j e c t i o n . h t m l
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 国 际 原 油 走 势 又 现 断 崖         是 黑 客 攻 击 在 搅 局 ？ 安 恒 主 机 卫 士 E D R 入 驻 统 信 U O S 应 用 商 店   全 方 位 主 机 安 全 防 护 “ 上 线 ” 攻 击 浪 潮 长 达 四 年     间 谍 组 织 如 何 一 次 又 一 次 地 破 坏 G o o g l e   P l a y ？ 数 十 个 关 键 代 码 漏 洞 被 修 复         A d o b e 为 B r i d g e 、 I l l u s t r a t o r 和 M a g e n t o 解 决 难 题 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理