{"id":451,"date":"2007-12-31T18:59:18","date_gmt":"2007-12-31T16:59:18","guid":{"rendered":"http:\/\/www.mitternachtshacking.de\/blog\/451-24c3-latest-trends-in-oracle-security"},"modified":"2018-05-31T16:38:17","modified_gmt":"2018-05-31T15:38:17","slug":"24c3-latest-trends-in-oracle-security","status":"publish","type":"post","link":"https:\/\/www.mitternachtshacking.de\/blog\/451-24c3-latest-trends-in-oracle-security","title":{"rendered":"24C3: Latest Trends in Oracle Security"},"content":{"rendered":"<p><a href=\"http:\/\/blog.red-database-security.de\/\">Alexander Kornbrust<\/a> ist neben David Litchfield vermutlich der wichtigste Oracle Sicherheitsexperte den wir haben. Wenn von ihm ein <a href=\"http:\/\/events.ccc.de\/congress\/2007\/Fahrplan\/events\/2354.en.html\">Vortrag zu Oracle Security<\/a> kommt, dann kann man eigentlich immer etwas wichtiges erwarten.<\/p>\n<p>Zu Beginn gab es einen kurzen Abriss zu alten L\u00fccken, insbesondere PL\/SQL-Injecion-Fehler. Hier hat Oracle in den letzten Jahren \u00fcber 1000 Fehler behoben und verwendet inzwischen einen Fortify-Sourcecode-Scanner um weitere L\u00fccken zu erkennen. Das Spiel hei\u00dft jetzt nicht mehr &#8222;Hacker gegen Oracle&#8220; sondern &#8222;Hacker gegen Fortify&#8220;. Dummerweise ist der PL\/SQL-Code der nicht von Oracle ist weiterhin dramatisch schlecht da die Entwickler in den Unternehmen nur auf ihre Business-Logik achten und teilweise noch nie von SQL-Injection geh\u00f6rt haben. Eine einzige L\u00fccke reicht einem Angreifer jedoch aus um die komplette Datenbank zu \u00fcbernehmen.<\/p>\n<p>Eie weitere Fehlerklasse hat David Litchfield auf der <a href=\"http:\/\/www.blackhat.com\/html\/bh-media-archives\/bh-archives-2007.html#dc\">Black Hat DC 2007<\/a> vorgestellt, dort nutzte er eine L\u00fccke im Cursor aus die jedoch inzwischen behoben ist. Der Hack zeigt jedoch, dass weiterhin mit L\u00fccken zu rechnen ist und immer mehr Angriffe automatisiert werden.<\/p>\n<p>Ein Thema mit dem sich Alexander als erster intensiv besch\u00e4ftigt hat sind &#8222;Database Rootkits&#8220;. Dabei werden einzelne Eintr\u00e4ge wie Benutzer und Passw\u00f6rter oder Jobs in der Datenbank versteckt. Diese Rootkits haben dar\u00fcber hinaus den Vorteil, plattformunabh\u00e4ngig und nur datenbankspezifisch zu sein. Eine Variante ist die Modifikation der Database-Views. Die meisten Tools verwenden Views um auf die Inhalte von Tabellen zu kucken. Ein Eintrag kann so in einem View verborgen werden w\u00e4hrend er in der Tabelle selbst weiter enthalten ist. Es gibt inzwischen sogar <a href=\"http:\/\/blogs.zdnet.com\/security\/?p=6\">kommerzielle DB-Rootkits<\/a>, z.B. von Argeniss, inzwischen <a href=\"http:\/\/www.gleg.net\/argeniss_pack.shtml\">von Gleg aufgekauft<\/a>. Von <a href=\"http:\/\/www.oracleforensics.com\/oraclesysdbabackdoor.pdf\">Paul Wright<\/a> (PDF) gibt es ebenfalls ein Rootkit-Whitepaper, au\u00dferdem eine neue Methode von David Litchfield, der <a href=\"http:\/\/www.databasesecurity.com\/oracle-backdoors.ppt\">im Memory<\/a> (PPT) einzelne Funktionen patcht.<\/p>\n<p>Die wichtigsten Probleme aktuell sind:<\/p>\n<ul>\n<li>Unvollst\u00e4ndiges Auditing, z.B. kann die User-Table nicht \u00fcberwacht werden<\/li>\n<li>Default Passw\u00f6rter \/ Login und Passwort identisch<\/li>\n<li>Nicht eingespielte Patches<\/li>\n<li>Ungesch\u00fctzte Listener<\/li>\n<\/ul>\n<p>Die Listener sind ab 10g automatisch gesch\u00fctzt, die Hauptprobleme werden weiterhin Patches sein, da viele Anwender nicht kurzfristig oder regelm\u00e4\u00dfig Patches einspielen k\u00f6nnen.<\/p>\n<p>Eine weitere neue Funktion mit Missbrauchspotential ist die Transparent Data Encryption (TDE) die auf jeder neuen Oracle-Installation vorhanden ist und nicht deinstalliert werden kann (jedoch zur Nutzung eine eigene 10.000 USD\/CPU Lizenz verlangt). Wenn die TDE eingesetzt wird, hilft sie dem Angreifer, relevante Daten zu finden da nur wichtige Sachen verschl\u00fcsselt sind (und die Entschl\u00fcsselung beim Query ja transparent erfolgt). Wenn sie nicht eingesetzt wird, gibt es ganz neue Erpressungsmethoden. Einfach die TDE aktivieren und kritische Daten verschl\u00fcsseln. Das passiert (da transparent) unsichtbar f\u00fcr den Nutzer. Nach einem Reboot bzw. Neustart der Datenbank ist dann der Schl\u00fcssel weg und das Unternehmen zahlt sicher gerne f\u00fcr das fehlende Passwort.<\/p>\n<p>Weitere Themen waren Skripten in Clients f\u00fcr SQL*Plus, die z.B. beim Starten des Oracle-Clients automatisch nach der Anmeldung ausgef\u00fchrt werden (quasi wie ein Trojaner) sowie Shellcode in Tablenamen, z.B. wenn ein Table &#8222;!rm -rF \/&#8220; hei\u00dft \ud83d\ude42 Cooles Zeug.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Alexander Kornbrust ist neben David Litchfield vermutlich der wichtigste Oracle Sicherheitsexperte den wir haben. Wenn von ihm ein Vortrag zu Oracle Security kommt, dann kann man eigentlich immer etwas wichtiges erwarten. Zu Beginn gab es einen kurzen Abriss zu alten L\u00fccken, insbesondere PL\/SQL-Injecion-Fehler. Hier hat Oracle in den letzten Jahren \u00fcber 1000 Fehler behoben und [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[13,8],"tags":[],"_links":{"self":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts\/451"}],"collection":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/comments?post=451"}],"version-history":[{"count":0,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts\/451\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/media?parent=451"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/categories?post=451"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/tags?post=451"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}