06系统安全加固解说.ppt

* * * * 外部调用功能’(external procedure) 04年的漏洞 Oracle 10g在通过extproc执行外部过程时存在问题，远程攻击者可以利用这个漏洞进行缓冲区溢出攻击，可能以进程权限执行任意指令。 * /oracle/twp_security_checklist_db_database.pdf By default, Oracle allows operating-system-authenticated logins only over secure connections, which precludes using Oracle Net and a shared server configuration. This default restriction prevents a remote user from impersonating another operating system user over a network connection. Setting the initialization parameter REMOTE_OS_AUTHENT to TRUE forces the RDBMS to accept the client operating system user name received over a nonsecure connection and use it for account access. Since clients, such as PCs, are not trusted to perform operating system authentication properly, it is very poor security practice to turn on this feature. The default setting, REMOTE_OS_AUTHENT = FALSE, creates a more secure configuration that enforces proper, server-based authentication of clients connecting to an Oracle database. You should not alter the default setting of the REMOTE_OS_AUTHENT initialization parameter, which is FALSE. Setting this parameter to FALSE does not mean that users cannot connect remotely. It simply means that the database will not trust that the client has been already authenticated, and will therefore apply its standard authentication processes * 数据字典是Oracle存放有关数据库信息的地方，其用途是用来描述数据的。Oracle中的数据字典有静态和动态之 分。静态数据字典主要是在用户访问数据字典时不会发生改变的，但动态数据字典是依赖数据库运行的性能的，反 映数据库运行的一些内在信息，所以在访问这类数据字典时往往不是一成不变的。文中介绍了Oracle的数据字典方 面的基本内容，运用好数据字典技术，可以让数据库开发人员能够更好的了解数据库的全貌，这样对于数据库优化 、管理等有极大的帮助。 大部分的系统权限都具有很大的权力，因此在给非 DBA用户授予系统权限时一定要谨慎。例如，具有UPDATE ANY TABLE系统权限的用户，就可以更改sys用户的数据字典基础表的权力，由于数据字典基础表包含了整个数据库的各个对象的定义等重要信息，所以绝对不能 被有意无意地手动更改。 为了保护数据字典基础表的安全，Oracle提供了 数据字典基础表的保护机制。对数据字典基础表的访问只局限于拥有SYSOPER或SYSDBA系统权限的用户。并提供了一个初始化参数 O7_DICTIONARY_ACCESSIBILIT来控制普通用户对数据字典基础表的访问。 “注 意”O7_DICTIONARY_ACCESSIBILITY是静态初始化参数，其中“O7”是字母“O”加数字“7”。 当 O7_DICTIONARY_ACCESSIBILITY=TRUE时，一个具有ANY TABLE系统权限的用户可以访问sys用户的对象，包括数据字典基础表。 当 O7_DICTIONARY_ACCESS