ReSQL.ru
     
powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Oracle [игнор отключен] [закрыт для гостей] / ограничение доступа
25 сообщений из 43, страница 1 из 2
  1  все
ограничение доступа
    #32330430
zm
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
zm
Гость
Можно ли ограничить пользователя таким образом, что бы он работал только с одним конкретным приложением, запретить попытки обращения к базе с других приложений
...
Рейтинг: 0 / 0
20.11.2003, 16:25
| Ответить | Цитировать | Написать  
ограничение доступа
    #32330552
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Полноценно - нет, а все выдрючивания можно обойти.
Кстати, запретить попытки уж никак нельзя ;-)
...
Рейтинг: 0 / 0
20.11.2003, 17:20
| Ответить | Цитировать | Написать  
ограничение доступа
    #32330869
Angel
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Angel
Участник
Создать роли, дающие возможность пользователю работать с базой.
Дать эти роли пользователю, но не по умолчанию.
Включать эти роли(alter session set role) только в приложении.
Лишить доступа к sqlplus и т.п.
...
Рейтинг: 0 / 0
21.11.2003, 06:05
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331047
Фотография Sergey Lookin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Sergey Lookin
Участник
Повесить на событие On Login в Oracle проверку приложения, и дальше либо пускать либо нет. (не проверял, но по моему это возможно).

----
Oracle 9.2.0.1.0
вероятно что я и не прав. но backup я уже сделал...
...
Рейтинг: 0 / 0
21.11.2003, 10:13
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331504
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Любые команды SQL (да и весь трафик к Oracle), можно посмотреть и выполнить все те же команды, которые делает "секретное приложение" из любой другой программы (хоть самому можно написать) - и все, пшик ваша защита. Полноценно не защитить, а от бабушки 50-летней, конечно, еще как-то можно.
...
Рейтинг: 0 / 0
21.11.2003, 14:27
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331528
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
2 Markelenkov
не уверен.. похоже, что команды "повышенонной секретности" не попадают в v$sql. или вы имеете в виду разбор именно сетевого трафика?

Код: plaintext
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
SQL> create user test5 identified by test5
   2   /

User created

SQL> select sql_text from v$sql s
   2   where lower(sql_text) like '%create user test%'
   3   /

SQL_TEXT
 --------------------------------------------------------------------------------
 
select sql_text from v$sql s where lower(sql_text) like '%create user test%'

SQL>
...
Рейтинг: 0 / 0
21.11.2003, 14:40
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331546
KonstN
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
KonstN
Участник
2 Markelenkov
Можно сварганить собственный протокол логона аля Керберос и зашить его в своё приложение. Другим приложением это не повторить будет.
...
Рейтинг: 0 / 0
21.11.2003, 14:48
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331615
alexa_s
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
alexa_s
Гость
под sys создаешь следующий триггер
CREATE OR REPLACE TRIGGER trg$logon
AFTER LOGON
ON DATABASE
when (user not in ('SYS','SYSTEM'))
DECLARE
ln_sid NUMBER;
user_name VARCHAR2(30);
os_user VARCHAR2(30);
program_z VARCHAR2(30);
BEGIN
SELECT sid
INTO ln_sid
FROM v$mystat
WHERE ROWNUM < 2
;
SELECT v$session.username
, v$session.osuser
, v$session.program
into user_name, os_user, program_z
FROM v$session
WHERE v$session.sid = ln_sid
AND v$session.username = USER;
IF LTRIM(USER_name)=' SCOTT ' and program_z<> 'TOAD.exe' then
RAISE_APPLICATION_ERROR (
-20905, 'Вас возможность работать только в TOAD');
end if ;
end;
можешь навернуть на него что угодно например вход только с опреденнного терминала и т.д.
...
Рейтинг: 0 / 0
21.11.2003, 15:25
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331634
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
2 alexa_s

берем файл hack_oracle.exe и переименовываем его в Toad.exe
как будем держать оборону, товарищ полковник?
...
Рейтинг: 0 / 0
21.11.2003, 15:31
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331649
Violina
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Violina
Участник
to alexa\r
\r
Триггер будет работать только если у SCOTT нет роли DBA\r
\r
grant/revoke dba в триггере\r
\r
PS\r
Кроме того это можно обойти переименованием sqlplus.exe в toad.exe.\r
\r
Код: plaintext
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
D:\\oracle\\ora92\\bin>ren sqlplus.exe toad.exe\r
\r
D:\\oracle\\ora92\\bin>toad vio/msx386\r
\r
SQL*Plus: Release  9 . 2 . 0 . 4 . 0  - Production on Fri Nov  21   15 : 35 : 21   2003 \r
\r
Copyright (c)  1982 ,  2002 , Oracle Corporation.  All rights reserved.\r
\r
Connected to:\r
Oracle9i Enterprise Edition Release  9 . 2 . 0 . 4 . 0  - Production\r
With the Partitioning, OLAP and Oracle Data Mining options\r
\r
SQL> select username, program from v$session;\r
\r
USERNAME                       PROGRAM\r
 ------------------------------ ------------------\r
 
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
VIO                            toad.exe\r
\r
 9  rows selected.
...
Рейтинг: 0 / 0
21.11.2003, 15:37
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331674
alexa_s
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
alexa_s
Гость
Этож только пример незачем пользователю показавать все насвете что он имеет права или неимеет права
...
Рейтинг: 0 / 0
21.11.2003, 15:50
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331676
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
эх.. вы не знаете этих пользователей. такие проныры..
...
Рейтинг: 0 / 0
21.11.2003, 15:54
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331678
Обкуренная Обезьяна
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Обкуренная Обезьяна
Участник
И спросит тогда пользователь

тварь я дрожащая или право имею
...
Рейтинг: 0 / 0
21.11.2003, 15:56
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331684
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
и спустится с небес DBA и исполнит молитвы страждущего. и наступит тогда во всей информационной системе рай, благоухание и компот.
...
Рейтинг: 0 / 0
21.11.2003, 16:00
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331907
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
To Barkovsky
В v$sql и в подобные места не попадает только пароль пользователя (если я не забыл что-нибудь).

To alexa_s
Да, можно еще свой сетевой протокол написать, свою криптографию навесить, запретить юзерам пользоваться отладчиками. Так можно дойти и до того, что легче что-то вместо Oracle самому написать.

Вся проблема в том, что программа работает на клиенте , и имя программы идет от клиента. А он на своем компе может сделать все, что его душеньке угодно. Вот если вы на его машине уберете FDD, CD-ROM, уберете всякие C++, Delphi и прочая и прочая... Чтобы он, зараза, не мог ничего сам написать и принести откуда-нибудь - опечатать все нафиг. И охранника к каждому юзеру надо приставить, ведь найдется гад, который в простом редакторе наберет exe-файл (сляпаный, к примеру, дома) и запустит его.

В общем, или работа, или такая защита. А ради чего?
...
Рейтинг: 0 / 0
21.11.2003, 19:00
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331925
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
тогда логично предположить, что если роль защищенна паролем, то при
Код: plaintext
aler session set role
тоже не попадет в v$sql..
следовательно, если зашить alter session set role в исполняемом коде, то доступ пользователям (не DBA) будет только из этого приложения.
не вижу граблей на этом пути:)
...
Рейтинг: 0 / 0
21.11.2003, 19:15
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331944
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Да v$sql здесь совсем ни причем. Он простым юзерам не должен быть виден.

Да я же привел пример - перехватываем, сидя на своей машине сетевой трафик, все команды SQL можно записать в trace-файл. И Оракловая криптография не поможет, т.к. можно, конечно, не дать прав юзеру на изменение sqlnet.ora, но право установить нужную ему переменную окружения tns_admin у него не отобрать. После чего криптография отключается. Поэтому здесь катит только предложение от KonstN с маленьким уточнением - писать свою криптографию и на сервере и на клиенте. Но и против этого существует отладчик, при помощи которого все отсылаемые на сервер команды и алгоритм шифрования вскрываются. А так как вся защита будет основана на незнании юзером выдаваемых приложением команд и на алгоритме шифрования, а не на ключе - пишу свою программу и пшик всей затее.

Ну никак Oracle не узнает ничего о свойствах (в том числе и об имени exe-файла и пр.) программы клиента, если она ему сама об этом не расскажет!

Затраченные усилия на надежную реализацию требований, требуемых автором вопроса, наверняка не стоят этого. А от дурака можно придумать и 100 вариантов - описанные выше, вставка в "секретную" таблицу "секретной" строчки... ... :-))
...
Рейтинг: 0 / 0
21.11.2003, 19:51
| Ответить | Цитировать | Написать  
ограничение доступа
    #32332060
Вячеслав Любомудров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Вячеслав Любомудров
Участник
Да у вас не юзера - хакеры какие-то
Для обычных юзеров достаточно триггер на logon и проверка DBMS_APPLICATION.SET_MODULE (по-моему так).
А хакер - он и в африке хакер. Захочет - зайдет.
Другое дело, что этих хакеров надо производить в должность системных программистов, не давать никаких задач (или дать откровенно тупую) и сделать вид, что очень ждем результатов.
...
Рейтинг: 0 / 0
22.11.2003, 06:01
| Ответить | Цитировать | Написать  
ограничение доступа
    #32332122
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Да у меня-то юзеры обычные, бог миловал ;-)
Просто я по себе сужу - что бы я делал, если б мне сказали: "Дружок, вот тебе TOAD, и да наступит тебе феличита, а все другое - от Лукавого". Я же сразу сказал - полноценнно (т.е. на 99% хотя бы) я не знаю, как сделать. А от дурака - 100 способов можно придумать. Пока что хорошего и простого способа никто не предложил. Думаю, и не предложат. Ждем-с...
...
Рейтинг: 0 / 0
22.11.2003, 14:18
| Ответить | Цитировать | Написать  
Период между сообщениями больше года.
ограничение доступа
    #39451068
dekloper
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dekloper
Гость
подскажите плз, можно ли запретить юзеру с ролью DBA доступ к em?
иначе говоря, доступ к em должен быть только у SYS-а (as sysdba)
можно ли так сделать?
ps. oracle 11g
...
Рейтинг: 0 / 0
11.05.2017, 01:38
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451136
Фотография env
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
env
Участник
dekloper,

Возникает резонный вопрос - зачем пользователю роль, к инструменту выполнения которой он не должен иметь доступ?
Может разумнее забрать у этого пользователя роль DBA, выданную ему скорее всего из-за отсутствия понимания необходимых для его задач привилегий?
...
Рейтинг: 0 / 0
11.05.2017, 09:50
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451139
tru55
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
tru55
Участник
Для сведения: все, что можно сделать через EM, можно сделать без EM. Разумеется, при определенной квалификации юзера.
...
Рейтинг: 0 / 0
11.05.2017, 09:57
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451218
dekloper
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dekloper
Гость
envdekloper,
скорее всего из-за отсутствия понимания необходимых для его задач привилегий?
100% так и есть.. если б кто точно знал что надо для работы нашего кривософта, вопросов бы не было...

tru55Для сведения: все, что можно сделать через EM, можно сделать без EM. Разумеется, при определенной квалификации юзера.
сведения известные: мне скл+ за глаза хватает..
нужна именно защита от.. обезъяны с гранатой..
...
Рейтинг: 0 / 0
11.05.2017, 11:25
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451236
Фотография env
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
env
Участник
dekloper,

Триггер на логон с проверкой приложения и хоста. Будет мина замедленного действия, но зато в том же духе говнокода, что уже есть.
...
Рейтинг: 0 / 0
11.05.2017, 11:36
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451239
Q.Tarantino
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Q.Tarantino
Участник
dekloper100% так и есть.. если б кто точно знал что надо для работы нашего кривософта, вопросов бы не было...
для кривософта должна быть тестовая среда. ее нереально развернуть???
...
Рейтинг: 0 / 0
11.05.2017, 11:36
| Ответить | Цитировать | Написать  
25 сообщений из 43, страница 1 из 2
  1  все
Форумы / Oracle [игнор отключен] [закрыт для гостей] / ограничение доступа
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение   Полит. конфиден.  
NoSQL.ru       Кролег: Проекты, Новости, Чат       РЕД ФОРУМ       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=52&msg=32331546&tid=1885934]:
 0ms
get settings:
 8ms
get forum list:
 11ms
check forum access:
 3ms
check topic access:
 3ms
track hit:
 182ms
get topic data:
 9ms
get forum data:
 2ms
get page messages:
 57ms
get tp. blocked users:
 1ms
others: 217ms
total:  493ms
созд. / загр.: 493ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]