数据库安全.pdf

文档介绍：数据库安全
密级：商密

© 2012 绿盟科技
重点：
攻击
DB
管理 配置
1 Oracle
2 SQL Server
3 MySQL
• Oracle •
• •
• •
• •
• •
• •
• •
• •
• •
• •
• •
• •
• • 26.***设置
•
Oracle的密码机制

Oracle 密码规则
•英文字母，数字，#，下划线(_)，美元字符($)构成，
•密码的最大长度为 30 字符；并不能以“$”，“#”，“_”或任何数字开头；
•密码不能包含“SELECT” ，“DELETE”，“CREATE”这类的 Oracle/SQL 关键字。
账户锁定机制
•默认配置下，每个帐户如果10 次失败登录将会被锁定。
•SYS 帐户在 Oracle 数据库中具有最高权限，能够做任何事情，包括启动 /关闭
Oracle 数据库。并且SYS 是不会被锁定的。
Oracle 的弱算法加密机制
•两个相同的用户名和密码在两台不同的 Oracle 数据库机器中，将具有相同的哈希
值。这些哈希值存储在 $表中。可以通过 DBA_USERS 这类的视图来访
问。
Orbrute远程***Oracle密码


• 选择SYS帐户
• 安装好 Sqlplus
• Orabrute <hostip> <port> <sid> <millitimewait>
远程***Oracle web管理页面密码

• 当访问 http://ip_addr:8080/oradb/public/global_name 会提示填入认证信息
checkpwd猜解Oracle默认密码

• 能清晰的看出每个帐户的状态（过期，锁定）
• checkpwd username/password@//ip:port/sid passwordfile
破解Oracle密码哈希值

•