大鸡巴在线草观看黄色片,国产精品你懂得在线观看,黄色录像日本女人吃大屌,在线观看国产h成人网站

2016年3月8日，某電商平臺的ERP 系統遭到黑客攻擊，事件中使用的SQL注入攻擊是數據庫安全攻擊中幾乎最常見的SQL注入。基于安華金和數據庫安全攻防實驗室的技術分析和模擬攻擊過程還原，SQL注入點可能來自Oracle數據庫自身的三個安全機制缺陷。

缺陷1： oracle數據庫自身的存儲過程和函數調用的權限機制存在安全隱患

用戶調用pl/sql子程序的時候，程序在訪問所涉及到的底層對象（包括表格等）時，用戶不必擁有訪問這些對象的權限，只需要用戶有該存儲過程的執行權限即可；而執行時是參照的是該子程序定義者的權限。

簡單說就是如果用創建者只有創建權限，沒有執行權限那么即便用sys賬號也依舊無法執行。因為執行定義者權限模式的子程序的時候。在子程序中當前賬號權限和創建該子程序用戶權限一致。雖然這給oracle帶來了很大的靈活性，但是會有很大的安全隱患。就像上文的例子一樣。黑客可以利用子程序獲得和子程序創建者一樣高的權限，再以高權限執行惡意代碼。黑客可以通過這種手段獲得DBA賬號、甚至控制整個oracle。

缺陷2：oracle中有些系統函數的參數對輸入類型和長度缺乏控制，導致形成注入點。對于這種oracle缺乏控制的的函數的參數需要進一步約束。約束的方法可以等待oracle進行補丁修復后進行補丁升級，也可以通過數據庫防火墻對特定函數使用的范圍做一定的限制。

缺陷3：Oracle自身存在系統存儲過程或函數自身存在提權漏洞

這些系統性的存儲過程或函數需要調用者的權限很低，但通過注入的方式，完成將調用者的權限提升到dba，如：

SYS.LT.COMPRESSWORKSPACETREE、SYS.DBMS_CDC_IMPDP.BUMP_SEQUENCE、SYS.KUPW$WORKER.MAIN、CTXSYS.DRILOAD.BUILD_DML等。

通過以上對Oracle數據庫安全機制缺陷的分析，希望能夠對Oracle用戶提供安全防護思路。對于功能強大的數據庫系統來說，容易存在SQL注入點，通過在數據庫層部署專業的安全防護產品，能夠更直接有效的避免此類安全事件的發生。