国产探花免费观看_亚洲丰满少妇自慰呻吟_97日韩有码在线_资源在线日韩欧美_一区二区精品毛片,辰东完美世界有声小说,欢乐颂第一季,yy玄幻小说排行榜完本

首頁 > 數據庫 > Oracle > 正文

訪問Oracle數據庫時如何限制繞過漏洞

2024-08-29 13:50:28
字體:
來源:轉載
供稿:網友
導 讀 Oracle 9.2.0.0到10.2.0.3版本答應在基表中僅有SELECT權限的用戶通過特制的視圖插入/更新/刪除數據,成功利用這個漏洞的低權限用戶可以通過創建特制的視圖導致插入、更新和刪除數據。 受影響系統: Oracle Database 9.2.0.0 - 10.2.0.3 描 述: BUGTRAQ ID: 17426 Oracle是大型的商業數據庫系統。Oracle 9.2.0.0到10.2.0.3版本答應在基表中僅有SELECT權限的用戶通過特制的視圖插入/更新/刪除數據,成功利用這個漏洞的低權限用戶可以通過創建特制的視圖導致插入、更新和刪除數據。 這個漏洞對Oracle數據詞典的影響較低,因為大多數詞典表沒有PRimary key,而利用這個漏洞必須primary key。 測試方法: 警 告: 以下程序(方法)可能帶有攻擊性,僅供安全研究與教學之用。使用者風險自負! 假設用戶dbsnmp僅有SELECT ANY DICTIONARY權限,無法更新數據詞典中的表格。
C:/>sqlplus dbsnmp/dbsnmp SQL*Plus: Release 10.1.0.4.0 - ProdUCtion on Thu Apr 8 19:20:27 2006 Copyright (c) 1982, 2005, Oracle. All rights reserved. Connected to: Oracle Database 10g Enterprise Edition Release 10.1.0.4.0- Production With the Partitioning, OLAP and Data Mining options SQL> select * from v$version; BANNER Oracle Database 10g Enterprise Edition Release 10.1.0.4.0 - Prod PL/SQL Release 10.1.0.4.0 - Production CORE 10.1.0.4.0 Production TNS for 32-bit Windows: Version 10.1.0.4.0 - Production NLSRTL Version 10.1.0.4.0 - Production SQL> -- 無法從數據詞典刪除數據(正常) SQL> delete from sys.registry$; delete from sys.registry$ * ERROR at line 1: ORA-01031: insufficient privileges SQL> -- 創建特制的自定義視圖 SQL> create or replace view e as select [...censored...]; View created. SQL> -- 通過視圖丟棄數據!!! ==> 安全漏洞 !!! SQL> delete from e; 17 rows deleted.
建議,臨時解決方法: 假如您不能馬上安裝補丁或者升級,NSFOCUS建議您采取以下措施以降低威脅: * 過濾9i到10g R1的連接角色,刪除CREATE VIEW(以及CREATE DATABASE LINK等)權限。 * 從基表刪除primary key。請注重這可能導致性能和完整性問題。 廠商補丁: Oracle 目前廠商還沒有提供補丁或者升級程序,我們建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本。


上一篇:如何在OracleE數據庫的字段上建立索引

下一篇:Oracle的面試問題——技術知識篇

發表評論 共有條評論
用戶名: 密碼:
驗證碼: 匿名發表
學習交流
熱門圖片

新聞熱點

疑難解答

圖片精選

網友關注

主站蜘蛛池模板: 彭山县| 德安县| 伊金霍洛旗| 巨鹿县| 濮阳县| 阿城市| 恩施市| 克东县| 塔河县| 鄂伦春自治旗| 调兵山市| 富民县| 伊宁市| 富锦市| 原平市| 柏乡县| 揭西县| 南汇区| 瑞丽市| 邹平县| 邯郸县| 富裕县| 黑山县| 开远市| 旌德县| 博乐市| 顺平县| 黎川县| 抚州市| 蓬莱市| 昌图县| 长岛县| 肃宁县| 汉沽区| 竹北市| 遂宁市| 乌拉特中旗| 镇宁| 镶黄旗| 商河县| 泌阳县|