建站
咨詢
售后
建站咨詢
新聞中心
Oracle是一家全球領(lǐng)先的數(shù)據(jù)庫管理系統(tǒng)公司。Oracle的全稱是Oracle Corporation，它是一家美國軟件公司，總部位于加利福尼亞州的紅木城。Oracle提供了一系列的數(shù)據(jù)庫產(chǎn)品、應(yīng)用程序及相關(guān)服務(wù)，為全球企業(yè)用戶提供了全面的數(shù)據(jù)庫解決方案。
公司主營業(yè)務(wù)：網(wǎng)站設(shè)計制作、網(wǎng)站設(shè)計、移動網(wǎng)站開發(fā)等業(yè)務(wù)。幫助企業(yè)客戶真正實現(xiàn)互聯(lián)網(wǎng)宣傳，提高企業(yè)的競爭能力。成都創(chuàng)新互聯(lián)是一支青春激揚(yáng)、勤奮敬業(yè)、活力青春激揚(yáng)、勤奮敬業(yè)、活力澎湃、和諧高效的團(tuán)隊。公司秉承以“開放、自由、嚴(yán)謹(jǐn)、自律”為核心的企業(yè)文化，感謝他們對我們的高要求，感謝他們從不同領(lǐng)域給我們帶來的挑戰(zhàn)，讓我們激情的團(tuán)隊有機(jī)會用頭腦與智慧不斷的給客戶帶來驚喜。成都創(chuàng)新互聯(lián)推出蠡縣免費(fèi)做網(wǎng)站回饋大家。
Oracle的誕生可以追溯到1977年那個時候，還叫Relational Software Inc。2023年，Oracle收購了BEA Systems，這也成為了Oracle企業(yè)級應(yīng)用開發(fā)平臺的基礎(chǔ)。從此，Oracle的企業(yè)級應(yīng)用市場變得更加豐富，提供的企業(yè)級應(yīng)用程序?qū)⑵髽I(yè)的業(yè)務(wù)系統(tǒng)實現(xiàn)了繁榮、生產(chǎn)力的提高以及對業(yè)務(wù)的監(jiān)視。
Oracle數(shù)據(jù)庫管理系統(tǒng)是其最為知名的產(chǎn)品之一。其功能強(qiáng)大、性能卓越、穩(wěn)定性優(yōu)秀，滿足了世界各國企業(yè)、和組織對數(shù)據(jù)庫的需求，成為全球最主流的企業(yè)級數(shù)據(jù)庫產(chǎn)品之一。Oracle數(shù)據(jù)庫管理系統(tǒng)帶來了許多優(yōu)勢，包括：
1.高擴(kuò)展性
Oracle數(shù)據(jù)庫具有高度的擴(kuò)展性，它可以適應(yīng)不同規(guī)模的企業(yè)，可以根據(jù)需求進(jìn)行垂直和水平擴(kuò)展。這使得企業(yè)可以根據(jù)自身的業(yè)務(wù)增長情況，隨時調(diào)整運(yùn)維策略，以保證更高的業(yè)務(wù)可用性。
2.數(shù)據(jù)安全
Oracle數(shù)據(jù)庫是一種安全性極高的數(shù)據(jù)庫管理系統(tǒng)，它支持多種加密方式，包括數(shù)據(jù)加密、通信加密、訪問控制、審計等功能，來保證用戶數(shù)據(jù)的安全性。
3.高可用性
Oracle數(shù)據(jù)庫在設(shè)計時，考慮到了業(yè)務(wù)系統(tǒng)的高可用性問題。針對此問題，Oracle數(shù)據(jù)庫實現(xiàn)了高可用性的解決方案，如Oracle Real Application Clusters（RAC）、Oracle Data Guard、Oracle Active Data Guard等，從而使得Oracle數(shù)據(jù)庫為企業(yè)業(yè)務(wù)系統(tǒng)提供了極為高效的運(yùn)營服務(wù)，保證業(yè)務(wù)不間斷。
4.性能強(qiáng)大
Oracle的性能非常出色，可以快速運(yùn)行大型應(yīng)用程序，快速響應(yīng)用戶請求。Oracle數(shù)據(jù)庫的優(yōu)化非常出色，數(shù)據(jù)庫系統(tǒng)也為用戶的SQL代碼提供了針對性的優(yōu)化優(yōu)化建議，幫助用戶輕松理解數(shù)據(jù)庫性能。此外，Oracle提供了符合行業(yè)標(biāo)準(zhǔn)的技術(shù)支持，如REST、SOAP等，使得開發(fā)人員可以輕松地進(jìn)行系統(tǒng)集成，從而提高開發(fā)效率。
5.商業(yè)價值
Oracle數(shù)據(jù)庫是商業(yè)級數(shù)據(jù)庫，其許可證授權(quán)允許商業(yè)用戶可以獲取更嚴(yán)格的技術(shù)支持和服務(wù)。Oracle公司提供了全方位的支持和服務(wù)，如跨平臺遷移、數(shù)據(jù)存儲和恢復(fù)，包括云端數(shù)據(jù)庫和數(shù)字服務(wù)支持，為企業(yè)用戶提供了正宗的企業(yè)級支持和服務(wù)。
6.靈活性
Oracle數(shù)據(jù)庫體系結(jié)構(gòu)非常彈性，可以支持操作系統(tǒng)的多種平臺，包括常見的Windows、Unix/Linux操作系統(tǒng)。同時，Oracle數(shù)據(jù)庫還支持多種編程語言，如PL/SQL、Java、Python等，開發(fā)人員可以使用自己最擅長的編程語言進(jìn)行開發(fā)。
Oracle數(shù)據(jù)庫是一種功能強(qiáng)大、性能卓越、易于開發(fā)和管理的數(shù)據(jù)庫管理系統(tǒng)，得到了全球眾多企業(yè)用戶的廣泛使用。Oracle公司的專業(yè)性、技術(shù)領(lǐng)先性、客戶體驗和品牌價值等綜合因素賦予其在全球數(shù)據(jù)庫市場上的競爭優(yōu)勢，成為數(shù)據(jù)庫領(lǐng)域的領(lǐng)先企業(yè)。而且，Oracle提供全方位的支持和服務(wù)，保證了用戶能夠隨時隨地得到及時的響應(yīng)和解決方案，為用戶提供了完美的產(chǎn)品和服務(wù)體驗。
相關(guān)問題拓展閱讀：
- Oracle數(shù)據(jù)庫基本知識
Oracle數(shù)據(jù)庫基本知識
Oracle數(shù)據(jù)庫基本知識
Oracle Database，又名OracleRDBMS，或簡稱Oracle。是甲骨文公司的一款笑液關(guān)系數(shù)據(jù)庫管理系統(tǒng)。本文為大家分享的是Oracle數(shù)據(jù)庫的基本知識，希望對大家有所幫助!
它是在數(shù)據(jù)庫領(lǐng)域一直處于領(lǐng)先地位的產(chǎn)品?？梢哉fOracle數(shù)據(jù)庫系統(tǒng)是目前世界上流行的關(guān)系數(shù)據(jù)庫管理系統(tǒng)，系統(tǒng)可移植性好、使用方便、功能強(qiáng)，適用于各類大、中、小、微機(jī)環(huán)境。它是一種高效率、可靠性好的適應(yīng)高吞吐量的數(shù)據(jù)庫解決方案。
介紹
ORACLE數(shù)據(jù)庫系統(tǒng)是美國ORACLE公司(甲骨文)提供的以分布式數(shù)據(jù)庫為核心的一組軟件產(chǎn)品，是目前更流行的客戶/服務(wù)器(CLIENT/SERVER)或B/S體系結(jié)構(gòu)的數(shù)據(jù)庫之一。比如SilverStream就是基于數(shù)據(jù)庫的一種中間件。ORACLE數(shù)據(jù)庫是目前世界上使用最為廣泛的數(shù)據(jù)庫管理系統(tǒng)，作為一個通用的數(shù)據(jù)庫系統(tǒng)，它具有完整的數(shù)據(jù)管理功能;作為一個關(guān)系數(shù)據(jù)庫，它是一個完備關(guān)系的產(chǎn)品;作為分布式數(shù)據(jù)庫它實現(xiàn)了分布式處理功能。但它的所有知識，只要在一種機(jī)型上學(xué)習(xí)了ORACLE知識，便能在各種類型的機(jī)器上使用它。
Oracle數(shù)據(jù)庫最新版本為OracleDatabase 12c。Oracle數(shù)據(jù)庫12c引入了一個新的多承租方架構(gòu)，使用該架構(gòu)可輕松部署和管理數(shù)據(jù)庫云。此外，一些創(chuàng)新特性可更大限度地提高資源使用率和靈活性，如Oracle Multitenant可快速整合多個數(shù)據(jù)庫，而Automatic Data Optimization和Heat Map能以更高的密度壓縮數(shù)據(jù)和對數(shù)據(jù)分層。這些獨(dú)一無二的技術(shù)進(jìn)步再加上在可用性、安全性和大數(shù)據(jù)支持方面的主要增強(qiáng)，使得Oracle數(shù)據(jù)庫12c 成為私有云和公有云部署的理想平臺。
就業(yè)前景
從就業(yè)與擇業(yè)的角度來講，計算機(jī)相關(guān)專業(yè)的大學(xué)生從事oracle方面的技術(shù)是職業(yè)發(fā)展中的更佳選擇。
其一、就業(yè)面廣：ORACLE幫助拓展技術(shù)人員擇業(yè)的廣度，全球前100強(qiáng)企業(yè)99家都在使用ORACLE相關(guān)技術(shù)，中國機(jī)構(gòu)，大中型企事業(yè)單位都能有ORACLE技術(shù)的工程師崗位，大學(xué)生在校期間興趣廣泛，每個人興趣特長各異，不論你想進(jìn)入金融行業(yè)還是電信行業(yè)或者機(jī)構(gòu)，ORACLE都能夠在你的職業(yè)發(fā)展中給你最強(qiáng)有力的支撐，成為你最貼身的金飯碗。
其二、技術(shù)層次深：如果期望進(jìn)入IT服務(wù)或者產(chǎn)品公司，Oracle技術(shù)能夠幫助提高就業(yè)的深度。Oracle技術(shù)已經(jīng)成為全球每個IT公司必選的軟件技術(shù)之一，熟練掌握Oracle技術(shù)能夠為從業(yè)人員帶來技術(shù)應(yīng)用上的優(yōu)勢，同時為IT技術(shù)的深入應(yīng)用起到非常關(guān)鍵的作用。掌握 Oracle技術(shù)，是IT從業(yè)人員了解全面信息化整體解決方案的基礎(chǔ)。
其三、職業(yè)方向多：Oracle數(shù)據(jù)庫管理方向、Oracle開發(fā)及系統(tǒng)架構(gòu)方向、Oracle數(shù)據(jù)建模數(shù)據(jù)倉庫等方向。
Oracle數(shù)據(jù)庫漏洞分析：無需用戶名和密碼進(jìn)入你的數(shù)據(jù)庫
一般性的數(shù)據(jù)庫漏洞，都是在成功連接或登錄數(shù)據(jù)庫后實現(xiàn)入侵;本文介紹兩個在2023年暴露的Oracle漏洞，通過這兩種漏洞的結(jié)合，可以在不掌握用戶名/密碼的情況下入侵Oracle，從嫌陪而完成對數(shù)據(jù)的竊取或者破壞。這兩個漏洞就是CVE和CVE。
引言
國內(nèi)外很多重碰者物要的系統(tǒng)都采用Oracle作為數(shù)據(jù)存儲的數(shù)據(jù)庫;在Oracle中存儲著企業(yè)或大量敏感的信息，在金錢或政治的誘導(dǎo)下，內(nèi)外部黑客會想法利用管理、網(wǎng)絡(luò)、主機(jī)或數(shù)據(jù)庫的自身漏洞嘗試入侵到數(shù)據(jù)庫中，以達(dá)到自身的目的。
本文的作者通過對Oracle倆種漏洞的組合研究，設(shè)計了一套在不掌握用戶名/密碼的方式入侵到Oracle中;這種方法，比傳統(tǒng)的需要登錄到數(shù)據(jù)庫中的入侵方法，具有更大的安全隱患和破壞性。
本文希望通過對這兩個漏洞和攻擊方法的介紹，能夠引起相關(guān)人員的重視，完善對數(shù)據(jù)庫安全的措施。
1、概要介紹
本文提供的方法是基于漏洞CVE和CVE對oracle數(shù)據(jù)庫的攻擊測試的方法。
CVE漏洞是Oracle允許攻擊者在不提供用戶名/密碼的’情況下，向遠(yuǎn)程“TNS Listener”組件處理的數(shù)據(jù)投毒的漏洞。攻擊者可利用此漏洞將數(shù)據(jù)庫服務(wù)器的合法“TNS Listener”組件中的數(shù)據(jù)轉(zhuǎn)向到攻擊者控制的系統(tǒng)，導(dǎo)致控制遠(yuǎn)程組件的數(shù)據(jù)庫實例，造成組件和合法數(shù)據(jù)庫之間的中間人攻擊、會話劫持或拒絕服務(wù)攻擊。
CVE漏洞是Oracle Database 10g/11g身份驗證協(xié)議實現(xiàn)中存在一個設(shè)計缺陷，攻擊者無需認(rèn)證即可遠(yuǎn)程獲取數(shù)據(jù)庫用戶密碼哈希相關(guān)數(shù)據(jù)，從而可以離線暴力破解用戶密碼，進(jìn)一步控制數(shù)據(jù)庫系統(tǒng)。
我們通過如下的步驟和過程可以實現(xiàn)對Oracle的入侵：
(1)利用CVE進(jìn)行TNS劫持，在監(jiān)聽下利用遠(yuǎn)程注冊，注冊同名數(shù)據(jù)庫實例;
(2)新登陸的用戶，在TNS的負(fù)載均衡策略下，有可能流量登錄到偽造的監(jiān)聽服務(wù)上;
(3)該監(jiān)聽服務(wù)對用戶的登陸過程進(jìn)行監(jiān)控，并將相關(guān)數(shù)據(jù)流量轉(zhuǎn)發(fā)到真實的數(shù)據(jù)庫上;
(4)利用CVE獲得通訊過程中的認(rèn)證相關(guān)信息;
(5)對認(rèn)證相關(guān)信息進(jìn)行離線的暴力破解，獲得登陸的密碼;
(6)試用破解的用戶名/密碼登陸Oracle，完成對Oracle中數(shù)據(jù)的訪問;
2、通過CVE進(jìn)行TNS劫持
該漏洞存在于Oracle的所有版本，并且Oracle至今僅是發(fā)布了警告性通知，并未提供解決方案。
要想利用CVE漏洞做TNS劫持，首先需要了解TNS機(jī)制。如下圖所示oracle 通過在本地解析網(wǎng)絡(luò)服務(wù)名到目標(biāo)主機(jī)IP地址，服務(wù)端口號，目標(biāo)數(shù)據(jù)庫名，把這些信息發(fā)送到oracle服務(wù)器端監(jiān)聽程序，最后再由監(jiān)聽程序遞送DBMS。
其中關(guān)鍵點(diǎn)在于監(jiān)聽會按照目標(biāo)數(shù)據(jù)庫名遞送到名稱正確的數(shù)據(jù)庫。那么如果一個監(jiān)聽下有2個同名數(shù)據(jù)庫。監(jiān)聽將自動按照負(fù)載均衡把這次訪問發(fā)送到負(fù)載低的數(shù)據(jù)庫上，進(jìn)行連接訪問。數(shù)據(jù)庫注冊到監(jiān)聽的方法就決定了，能否同時注冊同名數(shù)據(jù)庫在同一個監(jiān)聽下。注冊方式分為本地注冊和遠(yuǎn)程注冊，通過修改參數(shù)可以調(diào)整為遠(yuǎn)程注冊。
下面是一段可用的TNS劫持的過程：
.在劫持機(jī)上創(chuàng)建一個和目標(biāo)數(shù)據(jù)庫實例同名的數(shù)據(jù)庫實例。
.在劫持機(jī)上修改 tnsnames.ora 文件
添加
listener_name=
(DESCRIPTION=
(ADDRESS=(PROTOCOL=tcp)(HOST=目標(biāo)機(jī)器IP)(PORT=目標(biāo)機(jī)器端口)))
.在劫持機(jī)上用SQL*Plus 順序執(zhí)行下面步驟。
.$ sqlplus / as sysdba
. SQL> ALTER SYSTEM SETREMOTE_LISTENER=’LISTENER_NAME’;
. SQL> ALTER SYSTEM REGISTER;
.多個客戶端，向數(shù)據(jù)庫發(fā)起登錄。會劫持到一部分客戶端的登錄信息。
最終達(dá)到效果如下圖所示：
按照猜想同一個監(jiān)聽下有2個同名實例?？蛻舳嗽L問監(jiān)聽，監(jiān)聽按照客戶端中的數(shù)據(jù)庫名信息分配數(shù)據(jù)庫，由于監(jiān)聽下有2個同名數(shù)據(jù)庫，客戶端鏈接很可能會被分配到劫持者的數(shù)據(jù)庫實例下，再通過配置劫持者的本地監(jiān)聽把客戶端請求指回原數(shù)據(jù)庫。結(jié)構(gòu)圖如下：
測試客戶端鏈接196次。目標(biāo)數(shù)據(jù)庫實例獲得113次，劫持?jǐn)?shù)據(jù)庫實例獲得83次基本滿足負(fù)載均衡的假設(shè)。(注上面實例是local server 下面實例是 remote server)
通過以上方式我們可以截獲約一半左右客戶端發(fā)送到服務(wù)器的合法鏈接。其中獲得了服務(wù)器IP、端口號、數(shù)據(jù)庫位置、實例名、登錄用戶名等一系列明文信息和4組密文信息(AUTH_SESSKEY，AUTH_SESSKEY_CLIENT，AUTH_PASSWORD，AUTH_VFR_DATA)。
3、通過CVE進(jìn)行密碼破解
CVE受影響的數(shù)據(jù)庫版本有11.2.0.3，11.2.0.2，11.1.0.7,有使用了SHA-1加密算法的10.2.0.5和10.2.0.4，還有使用了SHA-1的10.2.0.3(運(yùn)行在z/OS下)版本。
雖然這個漏洞在11.2.0.3中已經(jīng)解決，但是僅僅數(shù)據(jù)庫客戶端和服務(wù)器都升級到11.2.0.3并且sqlnet.ora文件中增加SQLNET.ALLOWED_LOGON_VERSION=12才有效。
正如CVE所描述Oracle為了防止第三方通過網(wǎng)絡(luò)獲取登錄信息包。而對密碼進(jìn)行了加密處理。本部分只以oracle11.1密碼如何破解為例進(jìn)行說明。
在發(fā)起連接之后(oracle牽手完成)，客戶端和服務(wù)器經(jīng)過協(xié)商確定要使用的驗證協(xié)議。要完成這個任務(wù)，客戶端首先向數(shù)據(jù)庫發(fā)送一個包。包中包含客戶端主要信息和所請求的加密方式。數(shù)據(jù)庫確認(rèn)加密方式有效后，發(fā)送一個確認(rèn)服務(wù)包如下圖所示：
在通過安全網(wǎng)絡(luò)服務(wù)完成任何所要求的協(xié)議之后，數(shù)據(jù)庫用戶被O3logon(oracle驗證方式) 進(jìn)行驗證，這個協(xié)議執(zhí)行一個序列來向數(shù)據(jù)庫證明客戶端擁有密碼。為了避免網(wǎng)絡(luò)第三方截獲到密碼。首先客戶端發(fā)送用戶名到數(shù)據(jù)庫來表明用戶身份。數(shù)據(jù)庫端根據(jù)加密協(xié)議，其中96位的作為數(shù)據(jù)庫端密鑰，20位的作為偏移量，它對每個連接都是不同的。一個典型的數(shù)據(jù)庫端發(fā)給客戶端的密鑰如下：
AUTH_SESSKEY…..COCDD89FIGODKWASDF……………………
客戶端根據(jù)加密算法向服務(wù)器端發(fā)送96位的客戶端密鑰和64位的密碼密鑰。服務(wù)器端計算客戶端傳入的密碼密鑰。如果計算后密碼密文和數(shù)據(jù)庫中存儲的16位密碼密文一致則驗證通過。
根據(jù)這個過程可知上面TNS劫持包中取得的加密信息：AUTH_SESSKEY，AUTH_SESSKEY_CLIENT，AUTH_PASSWORD，AUTH_VFR_DATA這四個值是解密的關(guān)鍵。我們把他們按照SHA1,MD5，AES192進(jìn)行一系列處理。最終通過數(shù)據(jù)字典碰撞得到密碼明文。
下面這段網(wǎng)上公布的一段示例代碼，這段代碼與筆者的思路不完全相同，但也能大概地說明這個漏洞的攻擊過程：
import hashlib
from Crypto.Cipher import AES
def decrypt(session,salt,password):
pass_hash= hashlib.sha1(password+salt)
key =pass_hash.digest() + ‘\x00\x00\x00\x00’
decryptor= AES.new(key,AES.MODE_CBC)
plain =decryptor.decrypt(session)
returnplain
session_hex =’EA2023CB8B46EC68BDC161F8CA170363C1E6F57F3EBC6435F541A8239B6DBA16EAABAE78767′
salt_hex = ‘A7193E546377EC56639E’
passwords =
for password in passwords:
session_id= decrypt(session_hex.decode(‘hex’),salt_hex.decode(‘hex’),password)
print’Decrypted session_id for password “%s” is %s’ %(password,session_id.encode(‘hex’))
ifsession_id == ‘\x08\x08\x08\x08\x08\x08\x08\x08’:
print’PASSWORD IS “%s”‘ % password
break
4、建議的預(yù)防措施
根據(jù)以上兩段分析，我們可以有如下的預(yù)防措施：
(1)在條件許可的情況下，對Oracle進(jìn)行補(bǔ)丁升級，對Oracle打cpuoct補(bǔ)丁;注意對于cpuoct補(bǔ)丁要求服務(wù)器端和應(yīng)用服務(wù)器端同時升級，否則應(yīng)用系統(tǒng)將無法訪問Oracle;
(2)若無法對Oracle升級，要購買或安裝具備虛擬補(bǔ)丁功能的數(shù)據(jù)庫安全產(chǎn)品，防止對CVE和CVE的利用;
(3)建立足夠強(qiáng)健的口令，不要使用8位以下密碼，或者字典庫中的口令。
關(guān)于oracle是數(shù)據(jù)庫管理系統(tǒng)的介紹到此就結(jié)束了，不知道你從中找到你需要的信息了嗎 ？如果你還想了解更多這方面的信息，記得收藏關(guān)注本站。
成都網(wǎng)站設(shè)計制作選創(chuàng)新互聯(lián)，專業(yè)網(wǎng)站建設(shè)公司。
成都創(chuàng)新互聯(lián)10余年專注成都高端網(wǎng)站建設(shè)定制開發(fā)服務(wù),為客戶提供專業(yè)的成都網(wǎng)站制作,成都網(wǎng)頁設(shè)計,成都網(wǎng)站設(shè)計服務(wù);成都創(chuàng)新互聯(lián)服務(wù)內(nèi)容包含成都網(wǎng)站建設(shè)，小程序開發(fā)，營銷網(wǎng)站建設(shè)，網(wǎng)站改版，服務(wù)器托管租用等互聯(lián)網(wǎng)服務(wù)。
文章題目：深入了解Oracle：全球領(lǐng)先的數(shù)據(jù)庫管理系統(tǒng) (oracle是數(shù)據(jù)庫管理系統(tǒng))
網(wǎng)站地址：http://www.dlmjj.cn/article/dpjeise.html
