论文部分内容阅读
现今,针对网络数据库的攻击越来越成为攻击者的主流攻击技术,比如数据库SQL注入攻击、数据库提权、基于数据库扩展的系统攻击等。Oracle数据库作为一种非常成熟的商业化数据库产品,它的应用也较为广泛。正因为此,研究针对Oracle数据库的攻防技术是保障网络信息安全的一项重要课题。作者在研究生阶段参与到了针对Oracle数据库的自动化攻击工具的研究和开发项目中,而这也是本论文的实践基础。论文讲从攻与防这两个大方向对Oracle数据库进行研究。其中,将先由攻击入手进行阐述,再讨论与此相对应的防御措施。对于攻击方向的研究,将由以下四方面进行阐述:1)Oracle数据库基本信息的获得(包括版本信息等);2)Oracle数据库作为网站后台数据库的注入攻击过程中数据返回技术的研究;3)Oracle数据库中的提权漏洞; 4)基于Oracle数据库的系统攻击。数据返回是网页注入攻击过程中非常核心的一部分。与基于客户端的注入攻击不同的是,网页注入无法直接返回数据库执行结果,而需要借助额外的间接手段来实现数据返回。本文给出了五种可被用于实际攻击过程的数据返回技术。提权技术是本论文的另一个核心。由于管理员的安全意识日益增加,越来越多的程序被执行在较低用户权限之下。论文给出了三大类提权途径,以及各自的实现方式。Oracle数据库的系统攻击为本论文中的最后一个攻击技术,介绍了如何基于Oracle数据库本身提供的扩展功能来攻击数据库所在的服务器。论文提供了三种基本的系统攻击方式:执行操作系统命令、访问文件系统、访问网络。而在防御方向的研究,将会阐述一系列针对部分上述攻击手段的防御措施,如抵御网页数据库注入过程中的数据返回,以及一些已有的Oracle公司提供的抵御各类攻击的方法。最后,论文的介绍了一个由作者开发的针对Oracle数据库的自动化网页注入攻击工具。该工具实现了众多具有实际意义的功能,如查看文件系统内容、执行操作系统命令、上传文件到服务器等。该工具的实现,是本文理论部分的最佳实践证明。