搜索

[8500] 2014-12-16_Oracle数据库漏洞分析：无需用户名和密码进入你的数据库

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-17
2014-12-16_Oracle数据库漏洞分析：无需用户名和密码进入你的数据库 O r a c l e 数 据 库 漏 洞 分 析 ： 无 需 用 户 名 和 密 码 进 入 你 的 数 据 库 F r e e B u f   2 0 1 4 - 1 2 - 1 6 摘 要 摘 要 一 般 性 的 数 据 库 漏 洞 ， 都 是 在 成 功 连 接 或 登 录 数 据 库 后 实 现 入 侵 ； 本 文 介 绍 两 个 在 一 般 性 的 数 据 库 漏 洞 ， 都 是 在 成 功 连 接 或 登 录 数 据 库 后 实 现 入 侵 ； 本 文 介 绍 两 个 在 2 0 1 2 年 暴 露 的 年 暴 露 的 O r a c l e 漏 洞 ， 通 过 这 两 种 漏 洞 的 结 合 ， 可 以 在 不 掌 握 用 户 名 漏 洞 ， 通 过 这 两 种 漏 洞 的 结 合 ， 可 以 在 不 掌 握 用 户 名 / 密 码 的 密 码 的 情 况 下 入 侵 情 况 下 入 侵 O r a c l e ， 从 而 完 成 对 数 据 的 窃 取 或 者 破 坏 。 ， 从 而 完 成 对 数 据 的 窃 取 或 者 破 坏 。 这 两 个 漏 洞 就 是 这 两 个 漏 洞 就 是 C V E - 2 0 1 2 - 1 6 7 5 和 和 C V E - 2 0 1 2 - 3 1 3 7 。 。 引 言 引 言 国 内 外 很 多 重 要 的 系 统 都 采 用 O r a c l e 作 为 数 据 存 储 的 数 据 库 ； 在 O r a c l e 中 存 储 着 企 业 或 政 府 大 量 敏 感 的 信 息 ， 在 金 钱 或 政 治 的 诱 导 下 ， 内 外 部 黑 客 会 想 法 利 用 管 理 、 网 络 、 主 机 或 数 据 库 的 自 身 漏 洞 尝 试 入 侵 到 数 据 库 中 ， 以 达 到 自 身 的 目 的 。 本 文 的 作 者 通 过 对 本 文 的 作 者 通 过 对 O r a c l e 俩 种 漏 洞 的 组 合 研 究 ， 设 计 了 一 套 在 不 掌 握 用 户 名 俩 种 漏 洞 的 组 合 研 究 ， 设 计 了 一 套 在 不 掌 握 用 户 名 / 密 码 的 方 式 入 侵 到 密 码 的 方 式 入 侵 到 O r a c l e 中 ； 这 种 方 法 ， 比 传 统 的 需 要 登 录 到 数 据 库 中 的 入 侵 方 法 ， 具 中 ； 这 种 方 法 ， 比 传 统 的 需 要 登 录 到 数 据 库 中 的 入 侵 方 法 ， 具 有 更 大 的 安 全 隐 患 和 破 坏 性 。 有 更 大 的 安 全 隐 患 和 破 坏 性 。 本 文 希 望 通 过 对 这 两 个 漏 洞 和 攻 击 方 法 的 介 绍 ， 能 够 引 起 相 关 人 员 的 重 视 ， 完 善 对 数 据 库 安 全 的 措 施 。 本 文 希 望 通 过 对 这 两 个 漏 洞 和 攻 击 方 法 的 介 绍 ， 能 够 引 起 相 关 人 员 的 重 视 ， 完 善 对 数 据 库 安 全 的 措 施 。 1 、 概 要 介 绍 、 概 要 介 绍 本 文 提 供 的 方 法 是 基 于 漏 洞 本 文 提 供 的 方 法 是 基 于 漏 洞 C V E - 2 0 1 2 - 1 6 7 5 和 和 C V E - 2 0 1 2 - 3 1 3 7 对 对 o r a c l e 数 据 库 的 攻 击 测 试 的 方 法 。 数 据 库 的 攻 击 测 试 的 方 法 。 C V E - 2 0 1 2 - 1 6 7 5 漏 洞 是 O r a c l e 允 许 攻 击 者 在 不 提 供 用 户 名 / 密 码 的 情 况 下 ， 向 远 程 “ T N S   L i s t e n e r ” 组 件 处 理 的 数 据 投 毒 的 漏 洞 。 攻 击 者 可 利 用 此 漏 洞 将 数 据 库 服 务 器 的 合 法 “ T N S L i s t e n e r ” 组 件 中 的 数 据 转 向 到 攻 击 者 控 制 的 系 统 ， 导 致 控 制 远 程 组 件 的 数 据 库 实 例 ， 造 成 组 件 和 合 法 数 据 库 之 间 的 中 间 人 攻 击 、 会 话 劫 持 或 拒 绝 服 务 攻 击 。 C V E - 2 0 1 2 - 3 1 3 7 漏 洞 是 O r a c l e   D a t a b a s e   1 0 g / 1 1 g 身 份 验 证 协 议 实 现 中 存 在 一 个 设 计 缺 陷 ， 攻 击 者 无 需 认 证 即 可 远 程 获 取 数 据 库 用 户 密 码 哈 希 相 关 数 据 ， 从 而 可 以 离 线 暴 力 破 解 用 户 密 码 ， 进 一 步 控 制 数 据 库 系 统 。 我 们 通 过 如 下 的 步 骤 和 过 程 可 以 实 现 对 O r a c l e 的 入 侵 ： （ 1 ） 利 用 C V E - 2 0 1 2 - 1 6 7 5 进 行 T N S 劫 持 ， 在 监 听 下 利 用 远 程 注 册 ， 注 册 同 名 数 据 库 实 例 ； （ 2 ） 新 登 陆 的 用 户 ， 在 T N S 的 负 载 均 衡 策 略 下 ， 有 可 能 流 量 登 录 到 伪 造 的 监 听 服 务 上 ； （ 3 ） 该 监 听 服 务 对 用 户 的 登 陆 过 程 进 行 监 控 ， 并 将 相 关 数 据 流 量 转 发 到 真 实 的 数 据 库 上 ； （ 4 ） 利 用 C V E - 2 0 1 2 - 3 1 3 7 获 得 通 讯 过 程 中 的 认 证 相 关 信 息 ； （ 5 ） 对 认 证 相 关 信 息 进 行 离 线 的 暴 力 破 解 ， 获 得 登 陆 的 密 码 ； （ 6 ） 试 用 破 解 的 用 户 名 / 密 码 登 陆 O r a c l e ， 完 成 对 O r a c l e 中 数 据 的 访 问 ； 2 、 通 过 、 通 过 C V E - 2 0 1 2 - 1 6 7 5 进 行 进 行 T N S 劫 持 劫 持 该 漏 洞 存 在 于 O r a c l e 的 所 有 版 本 ， 并 且 O r a c l e 至 今 仅 是 发 布 了 警 告 性 通 知 ， 并 未 提 供 解 决 方 案 。 要 想 利 用 C V E - 2 0 1 2 - 1 6 7 5 漏 洞 做 T N S 劫 持 ， 首 先 需 要 了 解 T N S 机 制 。 如 下 图 所 示 o r a c l e   通 过 在 本 地 解 析 网 络 服 务 名 到 目 标 主 机 I P 地 址 ， 服 务 端 口 号 ， 目 标 数 据 库 名 ， 把 这 些 信 息 发 送 到 o r a c l e 服 务 器 端 监 听 程 序 ， 最 后 再 由 监 听 程 序 递 送 D B M S 。 其 中 关 键 点 在 于 监 听 会 按 照 目 标 数 据 库 名 递 送 到 名 称 正 确 的 数 据 库 。 其 中 关 键 点 在 于 监 听 会 按 照 目 标 数 据 库 名 递 送 到 名 称 正 确 的 数 据 库 。 那 么 如 果 一 个 监 听 下 有 2 个 同 名 数 据 库 。 监 听 将 自 动 按 照 负 载 均 衡 把 这 次 访 问 发 送 到 负 载 低 的 数 据 库 上 ， 进 行 连 接 访 问 。 数 据 库 注 册 到 监 听 的 方 法 就 决 定 了 ， 能 否 同 时 注 册 同 名 数 据 库 在 同 一 个 监 听 下 。 注 册 方 式 分 为 本 地 注 册 和 远 程 注 册 ， 通 过 修 改 参 数 可 以 调 整 为 远 程 注 册 。 下 面 是 一 段 可 用 的 下 面 是 一 段 可 用 的 T N S 劫 持 的 过 程 ： 劫 持 的 过 程 ： 1 . 在 劫 持 机 上 创 建 一 个 和 目 标 数 据 库 实 例 同 名 的 数 据 库 实 例 。 2 . 在 劫 持 机 上 修 改   t n s n a m e s . o r a   文 件 添 加 l i s t e n e r _ n a m e =         ( D E S C R I P T I O N =         ( A D D R E S S = ( P R O T O C O L = t c p ) ( H O S T = 目 标 机 器 I P ) ( P O R T = 目 标 机 器 端 口 ) ) ) 3 . 在 劫 持 机 上 用 S Q L * P l u s   顺 序 执 行 下 面 步 骤 。     1 . $   s q l p l u s   /   a s   s y s d b a     2 .   S Q L >   A L T E R   S Y S T E M   S E T R E M O T E _ L I S T E N E R = ' L I S T E N E R _ N A M E ' ;     3 .   S Q L >   A L T E R   S Y S T E M   R E G I S T E R ; 4 . 多 个 客 户 端 ， 向 数 据 库 发 起 登 录 。 会 劫 持 到 一 部 分 客 户 端 的 登 录 信 息 。 最 终 达 到 效 果 如 下 图 所 示 ：
按 照 猜 想 同 一 个 监 听 下 有 2 个 同 名 实 例 。 客 户 端 访 问 监 听 ， 监 听 按 照 客 户 端 中 的 数 据 库 名 信 息 分 配 数 据 库 ， 由 于 监 听 下 有 2 个 同 名 数 据 库 ， 客 户 端 链 接 很 可 能 会 被 分 配 到 劫 持 者 的 数 据 库 实 例 下 ， 再 通 过 配 置 劫 持 者 的 本 地 监 听 把 客 户 端 请 求 指 回 原 数 据 库 。 结 构 图 如 下 ： 测 试 客 户 端 链 接 1 9 6 次 。 目 标 数 据 库 实 例 获 得 1 1 3 次 ， 劫 持 数 据 库 实 例 获 得 8 3 次 基 本 满 足 负 载 均 衡 的 假 设 。 （ 注 上 面 实 例 是 l o c a l   s e r v e r   下 面 实 例 是   r e m o t e   s e r v e r ） 通 过 以 上 方 式 我 们 可 以 截 获 约 一 半 左 右 客 户 端 发 送 到 服 务 器 的 合 法 链 接 。 其 中 获 得 了 服 务 器 I P 、 端 口 号 、 数 据 库 位 置 、 实 例 名 、 登 录 用 户 名 等 一 系 列 明 文 信 息 和 4 组 密 文 信 息 （ A U T H _ S E S S K E Y ， A U T H _ S E S S K E Y _ C L I E N T ， A U T H _ P A S S W O R D ， A U T H _ V F R _ D A T A ） 。 3 、 通 过 、 通 过 C V E - 2 0 1 2 - 3 1 3 7 进 行 密 码 破 解 进 行 密 码 破 解 C V E - 2 0 1 2 - 3 1 3 7 受 影 响 的 数 据 库 版 本 有 受 影 响 的 数 据 库 版 本 有 1 1 . 2 . 0 . 3 ， ， 1 1 . 2 . 0 . 2 ， ， 1 1 . 1 . 0 . 7 , 有 使 用 了 有 使 用 了 S H A - 1 加 密 算 法 的 加 密 算 法 的 1 0 . 2 . 0 . 5 和 和 1 0 . 2 . 0 . 4 ， 还 有 使 用 了 ， 还 有 使 用 了 S H A - 1 的 的 1 0 . 2 . 0 . 3 （ 运 行 在 （ 运 行 在 z / O S 下 ） 版 本 。 下 ） 版 本 。 虽 然 这 个 漏 洞 在 1 1 . 2 . 0 . 3 中 已 经 解 决 ， 但 是 仅 仅 数 据 库 客 户 端 和 服 务 器 都 升 级 到 1 1 . 2 . 0 . 3 并 且 s q l n e t . o r a 文 件 中 增 加 S Q L N E T . A L L O W E D _ L O G O N _ V E R S I O N = 1 2 才 有 效 。 正 如 C V E - 2 0 1 2 - 3 1 3 7 所 描 述 O r a c l e 为 了 防 止 第 三 方 通 过 网 络 获 取 登 录 信 息 包 。 而 对 密 码 进 行 了 加 密 处 理 。 本 部 分 只 以 o r a c l e 1 1 . 1 密 码 如 何 破 解 为 例 进 行 说 明 。 在 发 起 连 接 之 后 （ o r a c l e 牵 手 完 成 ） ， 客 户 端 和 服 务 器 经 过 协 商 确 定 要 使 用 的 验 证 协 议 。 要 完 成 这 个 任 务 ， 客 户 端 首 先 向 数 据 库 发 送 一 个 包 。 包 中 包 含 客 户 端 主 要 信 息 和 所 请 求 的 加 密 方 式 。 数 据 库 确 认 加 密 方 式 有 效 后 ， 发 送 一 个 确 认 服 务 包 如 下 图 所 示 ： 在 通 过 安 全 网 络 服 务 完 成 任 何 所 要 求 的 协 议 之 后 ， 数 据 库 用 户 被 O 3 l o g o n （ o r a c l e 验 证 方 式 ）   进 行 验 证 ， 这 个 协 议 执 行 一 个 序 列 来 向 数 据 库 证 明 客 户 端 拥 有 密 码 。 为 了 避 免 网 络 第 三 方 截 获 到 密 码 。 首 先 客 户 端 发 送 用 户 名 到 数 据 库 来 表 明 用 户 身 份 。 数 据 库 端 根 据 加 密 协 议 ， 其 中 9 6 位 的 作 为 数 据 库 端 密 钥 ， 2 0 位 的 作 为 偏 移 量 ， 它 对 每 个 连 接 都 是 不 同 的 。 一 个 典 型 的 数 据 库 端 发 给 客 户 端 的 密 钥 如 下 ： A U T H _ S E S S K E Y . . . . . C O C D D 8 9 F I G O D K W A S D F … … … … … … … … 客 户 端 根 据 加 密 算 法 向 服 务 器 端 发 送 客 户 端 根 据 加 密 算 法 向 服 务 器 端 发 送 9 6 位 的 客 户 端 密 钥 和 位 的 客 户 端 密 钥 和 6 4 位 的 密 码 密 钥 。 服 务 器 端 计 算 客 户 端 传 入 的 密 码 密 钥 。 位 的 密 码 密 钥 。 服 务 器 端 计 算 客 户 端 传 入 的 密 码 密 钥 。 如 果 计 算 后 密 码 密 文 和 数 据 库 中 存 储 的 1 6 位 密 码 密 文 一 致 则 验 证 通 过 。
根 据 这 个 过 程 可 知 上 面 T N S 劫 持 包 中 取 得 的 加 密 信 息 ： A U T H _ S E S S K E Y ， A U T H _ S E S S K E Y _ C L I E N T ， A U T H _ P A S S W O R D ， A U T H _ V F R _ D A T A 这 四 个 值 是 解 密 的 关 键 。 我 们 把 他 们 按 照 S H A 1 , M D 5 ， A E S 1 9 2 进 行 一 系 列 处 理 。 最 终 通 过 数 据 字 典 碰 撞 得 到 密 码 明 文 。 下 面 这 段 网 上 公 布 的 一 段 示 例 代 码 ， 这 段 代 码 与 笔 者 的 思 路 不 完 全 相 同 ， 但 也 能 大 概 地 说 明 这 个 漏 洞 的 攻 击 过 程 ： 下 面 这 段 网 上 公 布 的 一 段 示 例 代 码 ， 这 段 代 码 与 笔 者 的 思 路 不 完 全 相 同 ， 但 也 能 大 概 地 说 明 这 个 漏 洞 的 攻 击 过 程 ：   i m p o r t   h a s h l i b         f r o m   C r y p t o . C i p h e r   i m p o r t   A E S                     d e f   d e c r y p t ( s e s s i o n , s a l t , p a s s w o r d ) :                         p a s s _ h a s h =   h a s h l i b . s h a 1 ( p a s s w o r d + s a l t )                         k e y   = p a s s _ h a s h . d i g e s t ( )   +   ' x 0 0 x 0 0 x 0 0 x 0 0 '                         d e c r y p t o r =   A E S . n e w ( k e y , A E S . M O D E _ C B C )                         p l a i n   = d e c r y p t o r . d e c r y p t ( s e s s i o n )                         r e t u r n p l a i n         s e s s i o n _ h e x   = ' E A 2 0 4 3 C B 8 B 4 6 E 3 8 6 4 3 1 1 C 6 8 B D C 1 6 1 F 8 C A 1 7 0 3 6 3 C 1 E 6 F 5 7 F 3 E B C 6 4 3 5 F 5 4 1 A 8 2 3 9 B 6 D B A 1 6 E A A B 5 4 2 2 5 5 3 A 7 5 9 8 1 4 3 E 7 8 7 6 7 '                     s a l t _ h e x   =   ' A 7 1 9 3 E 5 4 6 3 7 7 E C 5 6 6 3 9 E '                     p a s s w o r d s   =   [ ' t e s t ' , ' p a s s w o r d ' , ' ' o r a c l e ' , ' d e m o ' ]                     f o r   p a s s w o r d   i n   p a s s w o r d s :                         s e s s i o n _ i d =   d e c r y p t ( s e s s i o n _ h e x . d e c o d e ( ' h e x ' ) , s a l t _ h e x . d e c o d e ( ' h e x ' ) , p a s s w o r d )                         p r i n t ' D e c r y p t e d   s e s s i o n _ i d   f o r   p a s s w o r d   " % s "   i s   % s '   % ( p a s s w o r d , s e s s i o n _ i d . e n c o d e ( ' h e x ' ) )                         i f s e s s i o n _ i d [ 4 0 : ]   = =   ' x 0 8 x 0 8 x 0 8 x 0 8 x 0 8 x 0 8 x 0 8 x 0 8 ' :                                         p r i n t ' P A S S W O R D   I S   " % s " '   %   p a s s w o r d                                         b r e a k 4 、 建 议 的 预 防 措 施 、 建 议 的 预 防 措 施 根 据 以 上 两 段 分 析 ， 我 们 可 以 有 如 下 的 预 防 措 施 ： 根 据 以 上 两 段 分 析 ， 我 们 可 以 有 如 下 的 预 防 措 施 ： （ 1 ） 在 条 件 许 可 的 情 况 下 ， 对 O r a c l e 进 行 补 丁 升 级 ， 对 O r a c l e 打 c p u o c t 2 0 1 2 - 1 5 1 5 8 9 3 补 丁 ； 注 意 对 于 c p u o c t 2 0 1 2 - 1 5 1 5 8 9 3 补 丁 要 求 服 务 器 端 和 应 用 服 务 器 端 同 时 升 级 ， 否 则 应 用 系 统 将 无 法 访 问 O r a c l e ； （ 2 ） 若 无 法 对 O r a c l e 升 级 ， 要 购 买 或 安 装 具 备 虚 拟 补 丁 功 能 的 数 据 库 安 全 产 品 ， 防 止 对 C V E - 2 0 1 2 - 3 1 3 7 和 C V E - 2 0 1 2 - 1 6 7 5 的 利 用 ； （ 3 ） 建 立 足 够 强 健 的 口 令 ， 不 要 使 用 8 位 以 下 密 码 ， 或 者 字 典 库 中 的 口 令 。 [ 作 者 作 者 / 安 华 金 和 （ 企 业 账 号 ） ， 转 载 须 注 明 来 自 安 华 金 和 （ 企 业 账 号 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理