Oracle登录弱点 JetBrains推出订阅模型工具箱 Udacity推出大数据课程和付费报名 ASP.NET 5在线介绍 Mac上的Visual Studio暂挂-更新 NetBeans IDE 8.1中的新工具 众包科学 更快的网络-mod_pagespeed脱离Beta App Store 2中的恐惧与厌恶-Apple拒绝App过于简单 向网络图像添加有效期 一起编码-与朋友一起免费的iOS5应用类 Anant Agarwal领导麻省理工学院的在线学习 第一个PHP 5.5开发预览版发布 在线教学Python的经验教训 Google关闭了关键字数据 微软标签鞠躬 Mozilla的Web素养愿景 Mozilla科学实验室 剪贴板API工作草案 GWT席卷开源 适用于Windows的Atom Google的X网站已解决 通过拍照同步手机! Greasemonkey 2.0发布 带有新W3C API的带宽精明应用程序 Google的拒绝链接工具 浏览器中的C# 复杂的喜悦MOOCS Google推出Google Analytics(分析)地图 四月份计算机MOOC的产量 泰达财经基金投顾业务渐入佳境 泰达财经美团创始人王兴卸任亿联银行董事 泰达财经险资前8月投资收益率超8% 泰达财经直播间医药赛道吸金能力仍强势 泰达财经直播间银华品质消费10月26日起发行 推动PHP开发人员 由于无法进行电子邮件隐私保护,Groklaw关闭 Streams API规范草案 Google即时搜索JavaScript Google关闭打包的应用程序 HTTP / 2.0草案 Firefox 34/35中的Web开发人员工具增强功能 Unicode 7.0发布 Google Summer of Code 2012寻求小型组织 WebKit正在破坏网络 ACTA-立即行动 新的Relic的Analytics API CodeNow白宫批准 软件许可简易指南 HTML5-Intel Inside!
您的位置:首页 >前端 >

Oracle登录弱点

一些Oracle数据库使用的身份验证协议中的缺陷可能会使系统容易受到远程攻击。

该漏洞由Application Security Inc.报告。该公司的一名研究人员Esteban Martinez Fayo提出了一种方法,使攻击者可以强制获取Oracle服务器提供的令牌的知识来确定用户的密码。然后,攻击者可以以经过身份验证的用户身份登录,并对数据库执行未经授权的操作。Fayo开发了一种工具,可以使用普通PC在几个小时内破解一些简单的密码,并计划于2012年10月16日举行有关该漏洞的网络研讨会。

该漏洞影响Oracle Database 11g第1版和第2版,并且是由于用户尝试登录时身份验证协议保护会话密钥的方式而引起的。当客户端计算机与服务器联系时,服务器会生成一个随机密钥作为会话密钥并发送它返回给客户端。该漏洞意味着攻击者可以将特定的会话密钥与特定的密码进行匹配。出现问题是因为服务器在身份验证完成之前的第一阶段生成并发送了密钥。服务器还将发送一个盐(salt),一组随机位以及密码,这些位将在身份验证过程的下一个阶段与密码一起提供。攻击者只是简单地关闭了收到会话密钥和盐的连接,因此服务器日志中不会记录失败的登录尝试,因为身份验证从未完成。获得会话密钥和密码后,他们就可以将其用作暴力攻击的一部分,在这种攻击中生成并尝试输入密码。

Fayo通过注意到在客户端和服务器端对密码输入不正确的登录尝试进行了不同的处理来发现问题。他发现会话密钥在某种程度上泄漏了有关密码哈希的信息。他说这个问题很严重,因为它很容易利用。

攻击者只需要发送一些网络数据包或使用标准的Oracle客户端即可为特定用户获取会话密钥和Salt。然后,可以执行类似于破解SHA-1密码哈希的攻击。

Oracle实际上已经发布了一个新版本的身份验证协议,即版本12,该版本不容易受到该漏洞的影响,解决方案是应用补丁程序并将服务器配置更改为仅使用协议的新版本。Oracle没有计划修复协议11.1版中的漏洞。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。