Hackproofing Oracle Application Server755503775.doc

《Hackproofing Oracle Application Server755503775.doc》由會員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、HackproofingOracleApplicationServer文章屬性：翻譯文章提交：wking(bblman_at_21cn.com)>>============ANGSSoftwareInsightSecurityResearchPublication============<>============[straighttranslatedbywkingbblman@21cn.co

2、m04.1]============<

3、pting????????-OracleJSP????????????-TranslationFiles????????????-JSPSQLPoisoning????????????-Globals.jsa????????????-PhysicalPathmapping????????-XSQL????????????-XSQLConfig.xmlAccess????????????-XSQLSQLPoisoning????????????-XSQLStyleSheets????????-SOAP????????????-SOAPApplicationDepl

4、oyment????????????-SOAPConfigurationFile????????-SAMPLES????????????-DangerousSamples????????-DEFAULTS????????????-DynamicMonitoringServices????????????-PerlAlias????TNSLISTENER????????-ListenerSecurityIssues????????-EXTPROCandExternalProcedures????OracleDatabase????????-PL/SQLExtern

5、alProcedures????????-DefaultUserLoginsandPasswords????AppendixAIntroduction(緒論)恰恰與Oracle公司C.E.O：LarryEllison所宣稱的相反，Oracle9存在漏洞。或許Oracle公司在其運(yùn)營活動中標(biāo)榜“神不可破”是為充分顯示他們對更進(jìn)一步生產(chǎn)安全產(chǎn)品所做出的承諾，但在實(shí)際中，Oracle公司的確十分注重其產(chǎn)品的安全性。Oracle公司的產(chǎn)品已經(jīng)歷并通過了14項獨(dú)立的安全評估，其中包括CommonCriteriaassessment。在數(shù)據(jù)庫領(lǐng)域這是相當(dāng)了不起的成就，僅此O

6、racle公司就將其它的競爭對手遠(yuǎn)遠(yuǎn)甩在后面。目前Oracle9正經(jīng)歷評估的考驗(yàn)。謹(jǐn)以此篇獻(xiàn)給Oracle產(chǎn)品的用戶，幫助他們對Oracle公司所承諾的安全環(huán)境有更深的了解。要是某人為Oracle公司寫一份安全方面的白皮書，他的功績將與希臘君主科林斯王相姘美。Oracle公司開發(fā)了上百種產(chǎn)品，每件產(chǎn)品都應(yīng)有其對應(yīng)的專題說明。由于本文篇幅的限制，我們將討論其中最普通的部分-從Oracleweb前臺到Oracle數(shù)據(jù)庫服務(wù)器。主要的重點(diǎn)將放在Oracleweb前臺上，當(dāng)然，我們還將簡要了解數(shù)據(jù)庫部分。對數(shù)據(jù)庫部分的進(jìn)一步研究將另外撰文探討。經(jīng)驗(yàn)表明，web服務(wù)器已無

7、可厚非地成為攻擊的第一個目標(biāo)。本篇將演示攻擊者是如何侵入基于Oracle的站點(diǎn)，獲得web前臺的操作權(quán)，直至最后控制數(shù)據(jù)庫服務(wù)器。我們會講解每種攻擊方式，同時還會介紹其對應(yīng)的防衛(wèi)方法。針對本文一些問題的探討你可以到http://metalink.oracle.com/發(fā)表，同時在那里你可以下載Oracle的安全補(bǔ)丁。OracleArchitecture(Oracle體系結(jié)構(gòu))典型的Oracle站點(diǎn)將由受防火墻保護(hù)Oracleweb服務(wù)器和數(shù)據(jù)庫服務(wù)器組成。Oracleweb服務(wù)器將在由OracleApplicationServer提供的高效環(huán)境下運(yùn)行業(yè)主預(yù)先寫好

8、的應(yīng)用程序。這些程序可以