如何保护好Oracle服务器上的监听器(1)
如何保护好Oracle服务器上的监听器(1)
如何保护好Oracle服务器上的监听器
监听器简介
Oracle监听器是Oracle服务器软件的一个组件，它负责管理Oracle数据库和客户端之间的通讯，它在一个特定的网卡端口默认是TCP 1521端口）上监听连接请求，并将连接转发给数据库，由两个二进制文件组成：tnslsnr和lsnrctl。其中tsnlsnr就是监听器本身，它运行在数据库服务器端，lsnrctl是监听器控制程序，用于在服务器上或远程管理监听器。与监听器相关的还有两个配置文件：sqlnet.ora和listener.ora。tnslsnr启动时就会读取这两个配置文件中的信息，如端口号，数据库服务名。
Oracle监听器在默认安装和配置情况下，有许多著名的漏洞和缺陷，黑客利用这些缺陷可以制造拒绝服务攻击，偷窃数据库连接密码，进一步窃取机密数据。最大的风险来自监听器的配置，Oracle官方提供了一些推荐的配置，往往能够达到保护监听器的目的。本文就是想仔细列出现有的已知保护Oracle监听器的方法，这些方法对于黑客而言都很熟悉，所以作为DBA也必须要清楚才行。
为什么要保护监听器？
DBA对于为什么要保护监听器往往不太关心，他们认为黑客不太可能通过控制监听器进而控制整个数据库，在Oracle 10g之前的所有版本，Oracle监听器允许任何一个人利用lsnrctl从远程发起对监听器的管理，但幸运的是，从Oracle 10.1开始严格限制在远程对监听器的管理了。下面列出一些对Oracle 8/9i默认安装配置时可能有效的攻击手段，即使是打上最新的安全补丁，而没有进行安全配置加固，这些攻击手段也仍然有效：
注意：本文假设监听器使用的是TCP/IP，并且使用的是本地命名管理即tnsnames.ora），本文所描述的Oracle版本在8i/9i/10g上做过测试，但相信对其他低版本或更高的版本也有一定的参考价值。
怎么保护监听器？
既然监听器有这么多可供黑客利用的地方，那有没有什么方法来保护它，办法是有的，而且还很多，总结起来，大概有下面11种方法来保护Oracle监听器：
1、 设备监听器密码
通过设置监听器密码可以阻止大部分的菜鸟黑客的进攻，设置密码有两种方法，一种是通过lsnrctl命令来设置，另一种是直接修改listener.ora文件，第一种方法设置的密码是经过加密后存储在listener.ora中，而第二种方法是以明文的形式放在listener.ora中的，所以推荐使用第一种方式。具体命令如下：
LSNRCTL> set current_listener <监听器名>
LSNRCTL> change_password
old password: <如果之前没有设置密码就直接按回车>
New password: <输入新密码>
Reenter new password: <再次输入新密码>
LSNRCTL> set password Password: <输入刚刚设置的新密码>
LSNRCTL> save_config
设置好密码后，打开listener.ora，看是否有一条PASSWORDS_<监听器名>的记录，类似于PASSWORDS_LISTENER = F4BAA4A006C26134。为监听器设置了密码后，必须到客户端重新配置连接。
2、 开启监听器日志
开启监听器日志功能是为了捕获监听器命令和防止密码被暴力破解。开启监听器日志功能的命令为：
LSNRCTL> set current_listener <监听器名>
LSNRCTL> set password Password: <输入监听器密码>
LSNRCTL> set log_directory
LSNRCTL> set log_file
LSNRCTL> set log_status on
LSNRCTL> save_config
通过运行上面的命令，监听器将会在
3、 在listener.ora中设置ADMIN_RESTRICTIONS
在listener.ora文件中设置了ADMIN_RESTRICTIONS参数后，当监听器在运行时，不允许执行任何管理任何，届时，set命令将不可用，不论是在服务器本地还是从远程执行都不行，这时如果要修改监听器设置就只有手工修改listener.ora文件了，通过手工修改listener.ora，要使修改生效，只能使用lsnrctl reload命令或lsnrctl stop/start命令重新载入一次监听器配置信息。在listener.ora文件中手动加入下面这样一行：
ADMIN_RESTRICTIONS_<监听器名> = ON
4、 打上最新的监听器补丁
这一点就与操作系统类似，数据库也有bug，也有漏洞，黑客会在漏洞发现第一时间扫描未打补丁的服务器，所以作为一个称职的DBA要随时关注Oracle的CPU呵呵，不是处理器，是关键补丁升级的意思），这里要说明的是Oracle的补丁是自动累加的，就像windows xp sp2的内容包括了sp1的所有内容一样，所以只需要按照最新的补丁集就可以了，还有一点要注意的是在生产系统上应用任何补丁前都需要先在测试环境进行测试，保证升级后不影响正常业务才进行升级。最后要说明的是，只有购买了Oracle的正式许可才可以登陆下载补丁，否则就只有从第三方地址下载，其完整性就不能保证了。
5、 利用防火墙阻止SQL*NET
除非的确需要，否则不应该让SQL*NET通讯通过防火墙，在设计防火墙规则时，应设计为只允许经过认证的Web服务器和应用程序通过防火墙进行SQL*NET通信。而且放在防火墙DMZ区域的应用服务器使用SQL*NET通信时，应只允许它与特定的数据库服务器进行通信。
通常很少有应用会从Internet直接访问数据库，因为这种方式的延迟非常明显，通用的做法是配置应用服务器与数据库通信，Internet客户端通过浏览器访问应用服务器即可，这时配置防火墙时也只需设置应用服务器和数据库服务器之间的通信规则即可。
6、 保护$TNS_ADMIN目录
$TNS_ADMIN目录即我们通常看到的ORACLE_HOME/network/admin目录，它下面包含有listener.ora，tnsnames.ora，sqlnet.ora，protocol.ora等重要配置文件，前面已经提到，监听器的密码就是保存在listener.ora中的，如果不保护好，可能造成密码泄露，或整个文件被修改，这个目录下的listener.ora，sqlnet.ora，protocol.ora文件应该只开放给Oracle主账户通常是oracle或Administrator），而其他账户不能有任何权限，tnsnames.ora文件在Linux或Unix系统上权限可以设置为0644，在windows上可以设置其他用户为浏览，读取权限。
评论暂时关闭