Страница 1 из 1

Получение полных прав

Добавлено: 21 фев 2007, 15:49
JOHN_PROFF
Возможно ли человеку имеющему ограниченную учетную запись (открыт доступ не ко всем таблицам) получить полный доступ?
Так же у него есть доступ к ХП которая, в свою очередь, имеет доступ к закрытым для пользователя таблицам.

На серваке (win 2000) стоит FireBird 1.5.2
Пользователь, естественно, не имеет доступа к файлам сервера.

Добавлено: 21 фев 2007, 16:06
Dimitry Sibiryakov
Ну так через ХП он этот доступ и поимеет.

Добавлено: 21 фев 2007, 16:40
JOHN_PROFF
Dimitry Sibiryakov писал(а):Ну так через ХП он этот доступ и поимеет.
Я немного не корректно сформулировал вопрос.

Есть такая система:
При каждом запуске программы1 генерируется случайтый текст, который передается ХП1. ХП1 добавляет новую запись в таблице Т1 (IP машины, случайтый текст)
У ХП1 есть права только на запись в таблицу Т1.
У мользователя нет никаких прав на эту таблицу.

Потом программа2 считывает данные из таблицы Т1 и для каждого IP в таблице Т2 генерирует некие данные. Т2 (некие данные, случайтый текст)

После всего этого программа1 запускает ХП2, передает ей случайтый текст и на выходе получает селект из таблицы Т2 select некие данные from T2 where случайный текст = случайный текст сгенерированный программой1.
У ХП2 есть права только на чтение из таблицы Т2.
У мользователя нет никаких прав на эту таблицу.

Теперь вопрос:
Может ли пользователь считать все данные из таблиц Т1 и Т2? Брутфорс исключен, т.к. если not exists(select некие данные from T2 where случайный текст = случайный текст сгенерированный программой1), то пользователю закрывается доступ.

Добавлено: 22 фев 2007, 07:55
Dimitry Sibiryakov
Если обе эти программы работают от имени пользователя и некий злоумышленник знает пароль этого пользователя, то ему и не нужно считывать данные - он может забить Т1 (через ХП1) какими ему нужно данными и читать из Т2, используя эти данные.

Добавлено: 22 фев 2007, 23:50
JOHN_PROFF
Злоумышленник знает пароль программы1, но не знает пороль программы2 (вернее не к программе, а к серверу. Проги ходят под разными аками к базе (не SYSDBA)). То, о чем вы говорите у злоумышленника не получится, т.к. есть некоторые дополнительные меры, которые не позволят ему этого сделать, описывать их я не стал, т.к. к сабжу они не имеют отношения, да и разговор пойдет немного не в ту сторону.
Меня больше интересует есть ли дыры в самом сервере, позволяющие получить либо пароль SYSDBA, либо снять ограничения с учетной записи на чтение запрещенных таблиц, либо получить через сервер Firebird доступ к security.fdb.
ЗЫ
То, что он что то сможет проснифить и т.п. это другой вопрос.

Добавлено: 23 фев 2007, 09:21
kdv
позволяющие получить либо пароль SYSDBA
тьфу ты, блин, да не дешифруются пароли, НИКАК. подбором разумеется можно.
ибо снять ограничения с учетной записи на чтение запрещенных таблиц
это никак.
либо получить через сервер Firebird доступ к security.fdb.
всегда пожалуйста, кроме FB 2.0. только security.fdb можно же и переименовать.

Добавлено: 24 фев 2007, 05:51
JOHN_PROFF
kdv
Спасибо за конкретные ответы.

Остался только один вопрос:
Можно ли на уровне сервера присечь попытку брутфорса или поставить задержку секунд на 5 при соединении с базой (просьба не посылать к трехзвенке. Интересуют возможности только самого сервера)

Добавлено: 24 фев 2007, 06:29
CyberMax
JOHN_PROFF писал(а):Можно ли на уровне сервера присечь попытку брутфорса или поставить задержку секунд на 5 при соединении с базой (просьба не посылать к трехзвенке. Интересуют возможности только самого сервера)
При подключении с неправильным паролем более трех раз, при четвертом подключении сервер делает паузу (~15 сек для FB 2).
Для FB 2.0 почитай разделы в Release Notes "Active protection from brute-force attack" и "Protection from Brute-force Hacking".

Добавлено: 24 фев 2007, 09:27
EvilsInterrupt
JOHN_PROFF
1. Пароли максимум имеет 8 символов для IB\FB, отсюда скорость подбора меньше чем если бы не было этого ограничения.
2. Нельзя выбирать пароль только из цифр или букв - это правило
уже давно всем админам известно
3. В пароле желательно использовать и другие символы доступные для ввода: запята, тчк, :)

А вообще я уже пробовал увидеть пароль по сети, поставил Ethereal - это кул снифер, ввел пароль и пытался глянуть а не передается ли пароль, че то не увидел. Может плохо глядел?

Добавлено: 24 фев 2007, 11:17
kdv
че то не увидел. Может плохо глядел?
да уже просто надоело сотый раз объяснять, как пароль "передается" с клиента на сервер.

Добавлено: 24 фев 2007, 19:48
JOHN_PROFF
EvilsInterrupt писал(а):3. В пароле желательно использовать и другие символы доступные для ввода: запята, тчк, :)
И желательно что бы они первыми шли. Как правило во время перебора идут буквы, потом цифры, а потом знаки ;)