Oracle-пользователи по умолчанию, их пароли и зашифровки

Источник: сайт компании PenTest Limited,http://www.pentest-limited.com/default-user.htm иhttp://www.pentest-limited.com/user-table-new.htm

В этой статье приводится перечень пользователей базы данных Oracle, создаваемых по умолчанию при инсталляции (default users), а также их пароли. Этот реестр включает в себя и зашифрованные значения паролей (hashes), потому что SQL-скрипт может быть без труда модифицирован так, чтобы сравнить задаваемые шифрованные значения с теми, что находятся в пользовательской базе данных. Целью этой публикации является предоставление единого исходного общего списка всех пользователей по умолчанию, чтобы сделать легкой деятельность администратора БД и/или консультанта (офицера) по безопасности, гарантируя, что все пользователи по умолчанию или:

• удалены, если это возможно,
• или, по меньшей мере, их пароли заменены на другие.

Дальнейшие расширения

Этот реестр вскоре будет расширен дополнительными столбцами, чтобы показать, какие пользователи созданы по умолчанию при инсталляции [ основной базы данных и дополнительных опций - ред. ] и в каких версиях Oracle каждый из них мог бы быть создан. Также предполагается привести имена важных (сritical - критических) ролей, ассигнованных этим пользователям. Также предполагается добавить и другие Oracle-пароли для учетных записей (usernames/passwords), которые не хранятся в базе данных [ эти данные автором пока не опубликованы - ред. ].

Модернизация реестра

Компания Pentest (http://www.pentest-limited.com) намеревается поддерживать и обновлять этот список по мере того, как будут выявлены какие-либо новые пользователи по умолчанию и их пароли, которых мы пока не знаем. Мы приглашаем всех внести свой вклад в этот список. Если Вы знаете других таких пользователей и их пароли, пожалуйста, сообщите об этом по электронной почте default@pentest-limited.com .

Уведомление при изменениях

Если Вы хотите, чтобы Вам сообщали о всех когда-либо сделанных изменениях этого реестра, пожалуйста, пошлите незаполненное email-сообщение по адресуdefault-sub@pentest-limited.com . Если Вы захотите отказаться от этой подписки, тогда пошлите пустое email-сообщение на адресdefault-unsubscribe@pentest-limited.com .

SQL-скрипты для проверки вашей базы данных на предмет наличия паролей по умолчанию

SQL-скрипт check_users.sql был сгенерирован из данных, приведенных в ниже следующей таблицы (Таблица 1). Он проверит пользователей в вашей базе данных на предмет того, что в Вашей базе данных имеются какие-либо пользователи умолчания, для которых все еще устанавлено значение пароля по умолчанию. Щелкните здесьcheck_users.sql, чтобы разгрузить скрипт. Этот скрипт должен быть запущен от имени dba-пользователя, чтобы иметь возможность обратиться к представлению dba_users.

В настоящем виде в этом скрипте вход в базу ощуществляется, как "connect internal" и имеет место выход из соединения - "exit" в конце текста. Если Вы захотите запустить этот скрипт от имени другой учетной записи dba или не выходить из соединения, пожалуйста, не забудьте заменить эти две строки.

Второй предлагаемый скрипт был сгенерирован для проверки наличия ролей по умолчанию с паролями по умолчанию.Таблица ролей по умолчанию находится ниже на этой странице. Для того, чтобы скачать скрипт, щелкните по отметкеcheck_roles.sql [ Этот скрипт приводится также в конце этой публикации - ред. ]. Этот скрипт также надо запускать от имени SYS или INTERNAL , так как он обращается к таблице словаря данных SYS.USER$. И снова в скрипте имеют место "connect internal" и "exit". Пожалуйста, закомментируйте или удалите эти строки, если Вы не заходите как INTERNAL или не хотите выходить из базы.

Имена небазовых пользователей и их пароли

Эта секция называет тех пользователей и их пароли, чьи имена и пароли не хранятся в таблице словаря данных SYS.USER$. Как только будет получена новая информация, эта секция будет расширена.

Приложения, использующие базу данных Oracle

Эта секция будет добавлена в дальнейшем, чтобы включить в общий реестр пользователей и их пароли по умолчанию для тех Oracle-приложений, в которых при инсталляции используемой базы данных Oracle и приложений заводятся пользователи и пароли по умолчанию.

Таблица 1.
Пользователи по умолчанию, их пароли и зашифровки

В этой секции приводится таблица, содержащая известные нам роли по умолчанию с паролями по умолчанию

Таблица 2.
Роли с паролями по умолчанию

Таблица 3.
Имена небазовых пользователей и их пароли

Изучение учетных записей по умолчанию в Oracle

Скрипт check_roles.sql

-- name       : check_roles.sql
-- date       : 18-Nov-2001
-- Author     : Pete Finnigan
-- Description: Check all of the possible default roles to see 
--              if they still have the default passwords set. 
-- limitation : need to have access to sys.user$
--
-- useage     : SQL> @check_roles
set head off    
set lines 79   
set pages 0   
set feed off 
spool check_roles.lis
connect internal   
select 'Role : ODS_SERVER has the default password (ODS)' 
    from sys.user$ 
    where name='ODS_SERVER' and password='C6E799A949471F57';
set feed on
set head on
set termout on
set lines 80 
spool off   
exit