设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [8525] 2014-12-24_见招拆招：破解Oracle数据库密码 ...
返回列表 发新帖
查看: 1|回复: 0

[8525] 2014-12-24_见招拆招：破解Oracle数据库密码

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 6 天前 | 显示全部楼层 |阅读模式
2014-12-24_见招拆招：破解Oracle数据库密码 见 招 拆 招 ： 破 解 O r a c l e 数 据 库 密 码 F r e e B u f   2 0 1 4 - 1 2 - 2 4 一 一 . 概 要 概 要 本 文 主 要 目 的 ， 希 望 通 过 分 享 解 密 方 法 引 起 相 关 人 士 对 网 络 安 全 的 重 视 。 数 据 库 安 全 绝 不 单 只 数 据 库 本 身 的 安 全 ， 和 数 据 库 所 处 的 整 个 环 境 都 有 密 切 关 系 。 本 文 主 要 目 的 ， 希 望 通 过 分 享 解 密 方 法 引 起 相 关 人 士 对 网 络 安 全 的 重 视 。 数 据 库 安 全 绝 不 单 只 数 据 库 本 身 的 安 全 ， 和 数 据 库 所 处 的 整 个 环 境 都 有 密 切 关 系 。 本 文 所 说 的 破 解 o r a c l e 9 i 、 o r a c l e 1 0 g 、 o r a c l e 1 1 g 密 码 ， 特 指 通 过 对 o r a c l e 数 据 库 和 客 户 端 之 间 通 讯 包 进 行 处 理 破 解 出 o r a c l e 密 码 明 文 ， 这 有 别 于 对 o r a c l e 数 据 库 中 存 储 的 1 6 位 密 码 进 行 破 解 。 截 获 网 络 信 息 往 往 比 登 入 数 据 库 找 到 密 码 密 文 更 易 操 作 、 更 难 防 范 、 隐 秘 性 更 高 。 本 文 会 说 明 o r a c l e 最 常 见 的 3 个 版 本 的 具 体 算 法 ， 但 是 不 会 揭 露 算 法 内 部 细 节 。 二 二 . 背 景 背 景 随 着 信 息 通 讯 的 发 展 ， 网 络 变 得 越 来 越 复 杂 ， 同 时 也 越 来 越 不 安 全 。 如 下 图 所 示 ： 从 客 户 端 到 数 据 库 的 过 程 中 ， 攻 击 者 有 越 来 越 多 的 攻 击 目 标 选 择 。 无 论 在 哪 一 环 节 成 功 对 网 络 进 行 拦 截 或 者 监 听 都 会 获 得 o r a c l e 数 据 库 和 客 户 端 之 间 的 通 讯 包 。 如 果 通 讯 包 中 恰 好 含 有 用 户 信 息 ， 如 果 不 进 行 加 密 处 理 这 将 是 灾 难 性 的 事 件 。 本 文 依 o r a c l e 的 3 个 版 本 为 例 （ 9 i   1 0 g 1 1 g ） 。 分 别 说 明 核 心 通 讯 内 容 加 密 的 方 法 和 发 展 趋 势 。 三 三 . o r a c l e 加 密 原 理 加 密 原 理 当 O r a c l e 发 起 接 后 ， O r a c l e 客 户 端 向 o r a c l e 数 据 库 发 送 自 己 版 本 号 ， 包 含 的 加 密 算 法 等 信 息 。 最 终 2 边 确 定 使 用 什 么 加 密 算 法 。 然 后 进 行 O 3 l o g o n 验 证 。 O 3 l o g o n 验 证 是 一 种 查 询 - 响 应 协 议 ， 他 利 用 D E S 加 密 技 术 保 护 这 个 会 话 的 密 钥 （ s e s s k e y ） ， 保 证 s e s s k e y 不 会 在 网 络 中 传 输 ， 所 以 即 使 有 人 监 听 网 络 也 不 会 暴 露 核 心 密 钥 。 其 中 O 3 l o g o n 验 证 的 核 心 是 s e s s k e y 。 首 先 服 务 器 通 过 o r a c l e _ h a s h （ 不 同 的 版 本 不 一 样 ， 在 9 i 中 是 用 户 名 + 密 码 ， 再 进 行 s h a 1 运 算 ） 和 s e s s k e y ( 一 个 随 机 数 ) 算 出 服 务 器 端 的 S _ a u t h _ s e s s k e y . 客 户 端 拿 到 服 务 器 的 S _ a u t h _ s e s s k e y 后 通 过 手 上 的 散 列 值 （ 这 个 散 列 值 是 用 与 服 务 器 端 一 样 的 方 法 计 算 的 o r c a l e _ h a s h ） 算 出 数 据 库 所 选 择 的 随 机 s e s s k e y 。 客 户 端 使 用 s e s s k e y   生 成 新 的 散 列 值 ， 以 该 值 为 密 钥 与 明 文 p a s s w o r d 进 行 运 算 得 到 秘 文 p a s s w o r d ;   然 后 将 秘 文 p a s s w o r d 发 送 到 服 务 器 端 。 服 务 器 端 收 到 p a s s w o r d ； 通 过 s e s s k e y 生 成 散 列 值 密 钥 ， 对 秘 文 p a s s w o r d 进 行 解 密 得 到 密 码 明 文 ， 如 果 与 库 中 存 储 一 致 则 登 陆 成 功 。 （ 参 见 下 图 ） 四 四 . 实 例 实 例 上 面 主 要 是 原 理 的 说 明 ， 下 面 就 3 个 版 本 的 数 据 库 进 行 分 别 说 明 （ 他 们 既 有 相 同 ， 也 有 不 同 的 地 方 ） 。 o r a c l e 9 i : 本 文 默 认 你 已 经 通 过 某 些 方 式 取 得 了 一 个 含 有 O r a c l e 登 录 信 息 的 网 络 通 讯 包 。 省 略 掉 前 面 和 破 密 关 系 不 大 的 信 息 在 数 据 包 中 寻 找 到 3 个 相 关 信 息 分 别 是 数 据 库 发 送 给 客 户 端 的 A U T H _ S E S S K E Y   、 用 户 名 明 文 和 A U T H _ P A S S W O R D 。 客 户 端 在 得 到 a u t h _ s e s s k e y 后 ， 客 户 端 运 算 出 o r a c l e _ h a s h   ， 首 先 对 o r c a l e _ h a s h 做 S H A 1 运 算 会 得 到 服 务 器 端 的 散 列 值 。 以 服 务 器 端 散 列 值 为 密 钥 进 行 3 D E S 解 密 ， 可 以 把 服 务 器 端 发 给 客 户 端 的 A U T H _ S E S S K E Y 转 化 成 本 次 回 话 的 s e s s k e y 。 服 务 器 端 在 得 到 a u t h _ p a s s w o r d 后 ， 把 s e s s k e y 按 照 一 定 的 方 法 做 S H A 1 运 算 得 到 客 户 端 散 列 值 。 客 户 端 散 列 值 和 A U T H _ P A S S W O R D 通 过 3 D E S 可 以 算 出 存 于 数 据 库 中 的 密 码 密 文 。 最 后 客 户 端 散 列 值 和 密 码 密 文 进 行 运 算 可 以 还 原 回 密 码 明 文 。 由 于 9 i 是 采 用 把 用 户 名 明 文 和 密 码 明 文 按 照 顺 序 排 列 在 一 起 对 整 个 字 符 串 做 处 理 生 成 o r a c l e _ h a s h 。 由 于 添 加 的 参 数 是 固 定 的 所 以 即 使 不 是 同 一 台 数 据 库 只 要 加 入 的 账 号 + 密 码 相 同 则 ， 他 们 的 s e s s k e y 是 相 同 的 。 例 如 用 户 名 a a b b c c 密 码 c c d d e e 和 用 户 名 a a b b c c c c 密 码 d d e e 是 一 样 的 s e s s k e y 。 参 考 代 码 参 考 代 码 i n t   O R A C L E _ H a s h   ( c h a r * u s e r n a m e ,   c h a r   * p a s s w d ,   i n t   p a s s w d _ l e n ,   u n s i g n e d   c h a r *   o r a c l e _ h a s h ) {         c h a r   T o E n c r y p t [ 2 5 6 ] ;         c h a r   t e m p [ 2 5 6 ] ;         D E S _ c b l o c k   i v , i v 2 ;         D E S _ k e y _ s c h e d u l e   k s 1 ,   k s 2 ;         i n t   l e n = 0 ;         i n t   j , u l e n , p l e n ;         m e m s e t   ( T o E n c r y p t , 0 , s i z e o f ( T o E n c r y p t ) ) ;         s t r u p r   ( u s e r n a m e ) ;         s t r u p r   ( p a s s w d ) ;         u l e n   =   s t r l e n ( u s e r n a m e ) ;         p l e n   =   p a s s w d _ l e n ;         f o r   ( l e n = 1 , j = 0 ;   j < u l e n ;   l e n + + , j + + )         {                 T o E n c r y p t [ l e n ]   =   u s e r n a m e [ j ] ;                 l e n + + ;         }         f o r   ( j = 0 ;   j < p l e n ;   l e n + + , j + + )         {                 T o E n c r y p t [ l e n ]   =   p a s s w d [ j ] ;                 l e n + + ;         }         l e n = l e n - 1 ;         m e m s e t   ( i v , 0 , 8 ) ;
        m e m s e t   ( i v 2 , 0 , 8 ) ;         D E S _ s e t _ k e y ( ( D E S _ c b l o c k * )   d e s k e y _ f i x e d ,   & k s 1 ) ;         D E S _ n c b c _ e n c r y p t ( ( u n s i g n e d   c h a r * )   T o E n c r y p t ,   ( u n s i g n e d   c h a r * ) t e m p ,   l e n ,   & k s 1 ,   & i v ,   D E S _ E N C R Y P T ) ;         D E S _ s e t _ k e y ( ( D E S _ c b l o c k * )   & i v ,   & k s 2 ) ;         D E S _ n c b c _ e n c r y p t ( ( u n s i g n e d   c h a r * )   T o E n c r y p t ,   ( u n s i g n e d   c h a r * ) t e m p ,   l e n ,   & k s 2 ,   & i v 2 ,   D E S _ E N C R Y P T ) ;         m e m c p y   ( o r a c l e _ h a s h , i v 2 , 8 )         r e t u r n   T R U E ; } 注 ： 以 上 的 代 码 并 未 使 用 s h a 1 ， 而 是 采 用 了 d e s ， 与 前 文 介 绍 不 一 致 。 而 且 其 中 d e s k e y _ f i x e d 是 什 么 ？ 是 下 文 的 f i x e d 3 1 吗 ？ i n t O R A C L E _ T N S _ D e c r y p t _ P a s s w o r d _ 9 i   ( u n s i g n e d   c h a r   O r a c l e H a s h [ 8 ] ,   u n s i g n e d   c h a r a u t h _ s e s s k e y [ 1 6 ] ,   u n s i g n e d   c h a r   a u t h _ p a s s w o r d [ 1 6 ] ,   c h a r *   d e c r y p t e d ) { u n s i g n e d   c h a r   f i x e d 3 1   [ ]   = { 0 x A 2 , 0 x F B , 0 x E 6 , 0 x A D , 0 x 4 C , 0 x 7 D , 0 x 1 E , 0 x 3 D , 0 x 6 E , 0 x B 0 , 0 x B 7 , 0 x 6 C , 0 x 9 7 , 0 x E F , 0 x F F , 0 x 8 4 , 0 x 4 4 , 0 x 7 1 , 0 x 0 2 , 0 x 8 4 , 0 x A C , 0 x F 1 , 0 x 3 B , 0 x 2 9 , 0 x 5 C , 0 x 0 F , 0 x 0 C , 0 x B 1 , 0 x 8 7 , 0 x 7 5 , 0 x E F } ; u n s i g n e d   c h a r t r i p l e _ d e s _ k e y [ 6 4 ] ; u n s i g n e d   c h a r   s e s s k e y [ 1 6 ] ; u n s i g n e d   c h a r   o b f u s c a t e d [ 1 6 ] ; i n t   P a s s L e n   =   1 6 ; O R A C L E _ T N S _ C r e a t e _ K e y _ S H A 1 ( O r a c l e H a s h ,   8 ,   f i x e d 3 1 ,   s i z e o f ( f i x e d 3 1 ) ,   2 4 ,   t r i p l e _ d e s _ k e y ) ; O R A C L E _ T N S _ D e c r y p t _ 3 D E S _ C B C ( a u t h _ s e s s k e y ,   1 6 ,   t r i p l e _ d e s _ k e y ,   s e s s k e y ) ; O R A C L E _ T N S _ C r e a t e _ K e y _ S H A 1 ( s e s s k e y ,   1 6 ,   N U L L ,   0 ,   4 0 ,   t r i p l e _ d e s _ k e y ) ; O R A C L E _ T N S _ D e c r y p t _ 3 D E S _ C B C ( a u t h _ p a s s w o r d ,   1 6 ,   t r i p l e _ d e s _ k e y ,   o b f u s c a t e d ) ; O R A C L E _ T N S _ D e O b f u s c a t e ( t r i p l e _ d e s _ k e y ,   o b f u s c a t e d ,   & P a s s L e n ) ; m e m c p y   ( d e c r y p t e d ,   o b f u s c a t e d , P a s s L e n ) ; r e t u r n   P a s s L e n ; } o r a c l e 1 0 g 1 0 g 在 9 i 的 基 础 上 进 行 了 很 大 的 改 变 。 同 样 还 是 假 设 我 们 已 经 取 得 一 个 含 有 O r a c l e 登 录 信 息 的 网 络 通 讯 包 。 省 略 掉 前 面 和 破 密 关 系 不 大 的 信 息 在 数 据 包 中 寻 找 到 4 个 相 关 信 息 分 别 是 数 据 库 发 送 给 客 户 端 的 S _ A U T H _ S E S S K E Y 、 用 户 名 明 文 、 客 户 端 发 送 给 服 务 器 的 C _ A U T H _ S E S S K E Y 和 A U T H _ P A S S W O R D 。 首 先 假 设 取 得 了 o r a c l e _ h a s h ， 这 里 不 同 于 9 i 。 9 i 虽 然 算 了 2 个 不 同 的 散 列 值 。 但 由 于 2 个 散 列 值 都 是 通 过 固 定 数 据 和 o r a c l e _ h a s h 算 出 来 的 ， 所 以 难 免 被 破 解 ， 而 且 效 率 不 高 。 从 O r a c l e 1 0 g 开 始 ， O r a c l e 调 整 了 策 略 ， 客 户 端 和 数 据 库 分 别 以 o r a c l e _ h a s h 为 基 础 生 成 S _ A U T H _ S E S S K E Y 和 C _ A U T H _ S E S S K E Y 。 客 户 端 对 传 过 来 的 S _ A U T H _ S E S S K E Y 。 做 A E S 1 2 8 解 密 处 理 拿 到 s e r v e r _ s e s s k e y 。 把 s e r v e r _ s e s s k e y 和 自 己 的 c l i e n t _ s e s s k e y 做 m d 5 生 成 c o m b i n e 。 用 c o m b i n e 生 成 A U T H _ P A S S W O R D 。 服 务 器 端 最 后 用 c o m b i n e 对 A U T H _ P A S S W O R D 解 密 。 对 比 密 码 ， 如 果 一 致 登 陆 成 功 。 1 0 g 在 对 于 s e s s k e y 的 处 理 上 取 得 了 长 足 的 改 善 ， 但 是 对 o r a c l e _ h a s h 的 产 生 上 依 旧 延 续 了 9 i 的 方 式 。 采 用 用 户 名 和 密 码 进 行 拼 接 组 成 最 关 键 的 字 符 串 。 对 该 字 符 串 进 行 D E S 处 理 。 参 考 代 码 参 考 代 码 i n t O R A C L E _ T N S _ D e c r y p t _ P a s s w o r d _ 1 0 g   ( u n s i g n e d   c h a r   O r a c l e H a s h [ 8 ] ,   u n s i g n e d   c h a r a u t h _ s e s s k e y [ 3 2 ] ,   u n s i g n e d   c h a r   a u t h _ s e s s k e y _ c l i [ 3 2 ] ,   u n s i g n e d   c h a r *   a u t h _ p a s s w o r d , i n t   a u t h _ p a s s w o r d _ l e n ,   c h a r *   d e c r y p t e d ) {         i n t   p a s s l e n   =   0 ;         u n s i g n e d   c h a r   a e s _ k e y _ b y t e s [ 3 2 ] ;         u n s i g n e d   c h a r   d e c r y p t e d _ s e r v e r _ s e s s k e y [ 3 2 ] ;         u n s i g n e d   c h a r   d e c r y p t e d _ c l i e n t _ s e s s k e y [ 3 2 ] ;         u n s i g n e d   c h a r   c o m b i n e d _ s e s s k e y s [ 1 6 ] ;         c h a r   d e c r y p t e d _ p a s s w o r d [ 6 4 ] ;         m e m s e t   ( a e s _ k e y _ b y t e s , 0 , s i z e o f ( a e s _ k e y _ b y t e s ) ) ;         m e m c p y   ( a e s _ k e y _ b y t e s , O r a c l e H a s h , 8 ) ;         O R A C L E _ T N S _ D e c r y p t _ A E S 1 2 8 _ C B C   ( a e s _ k e y _ b y t e s ,   a u t h _ s e s s k e y ,   3 2 , d e c r y p t e d _ s e r v e r _ s e s s k e y ) ;         O R A C L E _ T N S _ D e c r y p t _ A E S 1 2 8 _ C B C   ( a e s _ k e y _ b y t e s ,   a u t h _ s e s s k e y _ c l i , 3 2 ,   d e c r y p t e d _ c l i e n t _ s e s s k e y ) ;         O R A C L E _ T N S _ C o m b i n e _ S e s s K e y s   ( & d e c r y p t e d _ s e r v e r _ s e s s k e y [ 1 6 ] , & d e c r y p t e d _ c l i e n t _ s e s s k e y [ 1 6 ] ,   c o m b i n e d _ s e s s k e y s ) ;         O R A C L E _ T N S _ D e c r y p t _ A E S 1 2 8 _ C B C   ( c o m b i n e d _ s e s s k e y s ,   a u t h _ p a s s w o r d , a u t h _ p a s s w o r d _ l e n ,   ( u n s i g n e d   c h a r * )   d e c r y p t e d _ p a s s w o r d ) ;         p a s s l e n   =   t e r m i n a t e _ a s c i i _ s t r i n g   ( & d e c r y p t e d _ p a s s w o r d [ 1 6 ] , a u t h _ p a s s w o r d _ l e n - 1 6 ) ;         i f   ( p a s s l e n ! =   - 1 )                 s t r n c p y   ( d e c r y p t e d ,   & d e c r y p t e d _ p a s s w o r d [ 1 6 ] ,   p a s s l e n ) ;         r e t u r n   p a s s l e n ; } o r a c l e 1 1 g 1 1 g 在 1 0 g 的 基 础 上 进 行 了 一 定 的 改 变 。 同 样 还 是 假 设 我 们 已 经 取 得 一 个 含 有 O r a c l e 登 录 信 息 的 网 络 通 讯 包 。 省 略 掉 前 面 和 破 密 关 系 不 大 的 信 息 在 数 据 包 中 寻 找 到 4 个 相 关 信 息 分 别 是 数 据 库 发 送 给 客 户 端 的 S _ A U T H _ S E S S K E Y 、 A U T H _ V F R _ D A T A 、 客 户 端 发 送 给 服 务 器 的 C _ A U T H _ S E S S K E Y 和 A U T H _ P A S S W O R D 。 依 旧 假 设 取 得 了 O r a c l e _ h a s h ， 1 1 g 基 本 同 于 1 0 g ， 客 户 端 和 数 据 库 分 别 以 O r a c l e _ h a s h 为 基 础 生 成 S _ A U T H _ S E S S K E Y 和 C _ A U T H _ S E S S K E Y 。 客 户 端 对 传 过 来 的 S _ A U T H _ S E S S K E Y 。 做 A E S 1 9 2 解 密 处 理 拿 到 s e r v e r _ s e s s k e y 。 把 s e r v e r _ s e s s k e y 和 自 己 的 c l i e n t _ s e s s k e y 做 m d 5 生 成 c o m b i n e 。 用 c o m b i n e 生 成 A U T H _ P A S S W O R D 。 服 务 器 端 最 后 用 c o m b i n e 对 A U T H _ P A S S W O R D 解 密 。 对 比 密 码 ， 如 果 一 致 登 陆 成 功 。 1 1 g 最 大 的 变 化 在 生 成 O r a c l e _ h a s h 上 采 取 了 和 1 0 g 不 同 的 策 略 。 O r a c l e   1 1 g 为 了 提 高 O r a c l e _ h a s h 的 安 全 性 ， 多 引 入 了 A U T H _ V F R _ D A T A 这 个 随 机 值 。 取 消 了 明 文 用 户 名 。 每 个 会 话 的 A U T H _ V F R _ D A T A 都 不 同 。 从 根 本 上 避 免 9 i 、 1 0 g 同 字 符 串 （ 用 户 名 + 密 码 组 成 的 字 符 串 ） 带 来 的 无 论 哪 台 机 器 o r a c l e _ h a s h 一 致 的 巨 大 安 全 隐 患 。 参 考 代 码 参 考 代 码 v o i d   O R A C L E _ M i x C a s e _ H a s h   ( c h a r * p a s s w d ,   i n t   p a s s w d _ l e n ,   u n s i g n e d   c h a r   s a l t [ 1 0 ] ,   u n s i g n e d   c h a r * o r a c l e _ m i x c a s e _ h a s h ) {         u n s i g n e d   c h a r   t o _ h a s h [ 2 5 6 ] ;         m e m c p y   ( t o _ h a s h ,   p a s s w d ,   p a s s w d _ l e n ) ;         m e m c p y   ( t o _ h a s h + p a s s w d _ l e n ,   s a l t ,   1 0 ) ;         S H A _ C T X   c t x ;         S H A 1 _ I n i t   ( & c t x ) ;         S H A 1 _ U p d a t e   ( & c t x ,   t o _ h a s h ,   p a s s w d _ l e n + 1 0 ) ;
        S H A 1 _ F i n a l   ( o r a c l e _ m i x c a s e _ h a s h ,   & c t x ) ; } 五 五 . 总 结 总 结 从 O r a c l e 9 i 到 O r a c l e 1 1 g 的 变 化 ， 我 们 可 以 清 晰 得 看 出 o r a c l e 调 整 的 思 路 ， 就 是 更 安 全 。 从 1 1 g 开 始 ， o r a c l e 和 密 码 相 关 登 陆 信 息 全 部 采 用 了 密 文 。 有 效 地 加 大 了 破 解 难 度 。 我 们 身 为 I T 软 件 从 业 者 和 安 全 行 业 从 业 者 ， 应 该 向 O r a c l e 学 习 ， 不 单 单 重 视 软 件 本 身 的 安 全 ， 同 时 也 要 对 环 境 有 一 定 的 抵 抗 力 。 一 定 注 意 防 止 网 络 监 听 ， 设 计 S I D 的 时 候 尽 量 避 免 O R C L 、 T E S T 等 常 用 名 。 端 口 号 尽 量 不 要 选 用 1 5 2 1   和 1 5 2 3 来 增 加 扫 描 难 度 。 使 用 复 杂 密 码 ， 定 期 更 换 密 码 等 都 会 有 助 于 o r a c l e 的 安 全 [ 作 者 作 者 / 安 华 金 和 （ 企 业 账 号 ） ， 转 载 须 注 明 来 自 安 华 金 和 （ 企 业 账 号 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:36 , Processed in 0.295339 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表