国产探花免费观看_亚洲丰满少妇自慰呻吟_97日韩有码在线_资源在线日韩欧美_一区二区精品毛片,辰东完美世界有声小说,欢乐颂第一季,yy玄幻小说排行榜完本

首頁 > 數據庫 > Oracle > 正文

訪問Oracle數據庫時如何限制繞過漏洞

2024-08-29 13:50:28
字體:
來源:轉載
供稿:網友
導 讀 Oracle 9.2.0.0到10.2.0.3版本答應在基表中僅有SELECT權限的用戶通過特制的視圖插入/更新/刪除數據,成功利用這個漏洞的低權限用戶可以通過創建特制的視圖導致插入、更新和刪除數據。 受影響系統: Oracle Database 9.2.0.0 - 10.2.0.3 描 述: BUGTRAQ ID: 17426 Oracle是大型的商業數據庫系統。Oracle 9.2.0.0到10.2.0.3版本答應在基表中僅有SELECT權限的用戶通過特制的視圖插入/更新/刪除數據,成功利用這個漏洞的低權限用戶可以通過創建特制的視圖導致插入、更新和刪除數據。 這個漏洞對Oracle數據詞典的影響較低,因為大多數詞典表沒有PRimary key,而利用這個漏洞必須primary key。 測試方法: 警 告: 以下程序(方法)可能帶有攻擊性,僅供安全研究與教學之用。使用者風險自負! 假設用戶dbsnmp僅有SELECT ANY DICTIONARY權限,無法更新數據詞典中的表格。
C:/>sqlplus dbsnmp/dbsnmp SQL*Plus: Release 10.1.0.4.0 - ProdUCtion on Thu Apr 8 19:20:27 2006 Copyright (c) 1982, 2005, Oracle. All rights reserved. Connected to: Oracle Database 10g Enterprise Edition Release 10.1.0.4.0- Production With the Partitioning, OLAP and Data Mining options SQL> select * from v$version; BANNER Oracle Database 10g Enterprise Edition Release 10.1.0.4.0 - Prod PL/SQL Release 10.1.0.4.0 - Production CORE 10.1.0.4.0 Production TNS for 32-bit Windows: Version 10.1.0.4.0 - Production NLSRTL Version 10.1.0.4.0 - Production SQL> -- 無法從數據詞典刪除數據(正常) SQL> delete from sys.registry$; delete from sys.registry$ * ERROR at line 1: ORA-01031: insufficient privileges SQL> -- 創建特制的自定義視圖 SQL> create or replace view e as select [...censored...]; View created. SQL> -- 通過視圖丟棄數據!!! ==> 安全漏洞 !!! SQL> delete from e; 17 rows deleted.
建議,臨時解決方法: 假如您不能馬上安裝補丁或者升級,NSFOCUS建議您采取以下措施以降低威脅: * 過濾9i到10g R1的連接角色,刪除CREATE VIEW(以及CREATE DATABASE LINK等)權限。 * 從基表刪除primary key。請注重這可能導致性能和完整性問題。 廠商補丁: Oracle 目前廠商還沒有提供補丁或者升級程序,我們建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本。


上一篇:如何在OracleE數據庫的字段上建立索引

下一篇:Oracle的面試問題——技術知識篇

發表評論 共有條評論
用戶名: 密碼:
驗證碼: 匿名發表
學習交流
熱門圖片

新聞熱點

疑難解答

圖片精選

網友關注

主站蜘蛛池模板: 金昌市| 河源市| 望都县| 嘉峪关市| 靖边县| 顺义区| 松溪县| 古丈县| 银川市| 襄垣县| 和顺县| 芷江| 清涧县| 荥阳市| 开封市| 东丰县| 巨鹿县| 乌拉特前旗| 景泰县| 临清市| 鄂尔多斯市| 宁南县| 南京市| 绥江县| 玉树县| 高碑店市| 珲春市| 荥阳市| 峨眉山市| 汾阳市| 荃湾区| 西乌珠穆沁旗| 山丹县| 西乌| 陇西县| 屏南县| 册亨县| 孙吴县| 台州市| 麻城市| 万盛区|