Oracle Database Security

今天去 Alexander Kornbrust 的站点看了一下。发现了很多值得一看的内容。

Alex 对 alert 68 的注释必须看一下。还有：
Hardening Oracle DBA Workstations 这个也很有意思。Alex 最棒的一篇文章是：Database Rootkits：

Database Rootkits are a new class of security issues and affect all relational databases. An attacker can hide database users/processes/…

对应Database Rootkits这篇论文还有一个小脚本：Find hidden database user，内容只有两行:

SELECT NAME "Invisible User in DBA_USERS"
FROM SYS.user$
WHERE type# = 1
MINUS
SELECT username
FROM SYS.dba_users;
SELECT NAME "Invisible User in ALL_USERS"
FROM SYS.user$
WHERE type# = 1
MINUS
SELECT username
FROM SYS.all_users;

我看到这个之后立刻在自己的产品库上跑了一下,当然,没有Hidden User,否则,要被炒鱿鱼的:)

验证了另外一个关于dbms_metadata 的安全问题，吓我一跳。验证了一下密码修改的安全问题：尽量用 SQL*Plus 的 Password 命令修改密码，而不是用Alter user ……的方式，因为alter user ……会明文在网络上传输.另外，http://www.argeniss.com/research.html 这里也是一个很有效的安全信息来源.Oracle 数据库安全，你开始关注了没有？