SAP HANA系统曝安全漏洞,静态密钥存在数据库里

网站建设评论44

SAP HANA系统曝安全漏洞,静态密钥存在数据库里-开水网络

SAP知名内存数据库管理系统HANA被曝存在安‍‍全漏洞,其静态加密密钥居然存放在数据库中。SAP HANA是SAP有史以来发展最快的产品。‍‍

漏洞概述

ERPScan的研究人员在阿姆斯特丹举行的黑帽大会上展示了这个漏洞。这个团队最近还公布了Oracle的PeopleSoft中的配置漏洞。

加密密钥是静态的,也就是说所有的SAP HANA默认安装后使用的是相同的key——攻击者如果可以读取这个key也就可以攻击多个系统。

ERPScan的首席技术官Alexander Polyakov称,攻击者可以有多种方法进行攻击:诸如SQL注入来窃取SAP数据库中的密钥、使用目录遍历,或者XXE注入攻击(XML External Entity attack,XML外部实体注入攻击)。默认的加密密钥被用来保护平台里的数据,包括密码和平台备份。

另一方面,由于SAP的管理员们很少会更改默认的加密密钥,这也使得平台容易受到攻击。

在黑帽大会上,研究人员Dmitry Chastuhin不仅分享了加密漏洞,还分享了Hana XS服务器中的一个SQL注入漏洞。

 

用默认密钥解密所有数据

专家解释称,“有些数据是被储存在磁盘上的,比如技术人员的账号、密码和用于解密保存点的密钥,都是储存在hdbuserstore里的。这个hdbuserstore就是在磁盘上的简单的文件,使用3DES算法加密,用了一个静态的主密钥。一旦你能够读取这个文件并用每个系统都一样的静态主密钥进行解密,你就能得到系统用户密码和用于硬盘加密的密钥。也就能够获取所有的数据了。”

ERPScan称其客户中,100%仍然使用默认的主密钥加密hdbuserstore。

Chastuhin还发现,SAP移动平台中也存在这个问题,即使用了一个默认的静态密钥加密数据,攻击者可以利用XXE漏洞获取含有密码的配置文件,再使用静态密钥解密。

 

 
网站建设要符合访客的心理属性 网站建设

网站建设要符合访客的心理属性

很多人会把访客和客户混为一谈。一般来说,访问网站的人,对我们网站所展示的业务有需求的人,都统称为我们的客户,或叫潜在客户或者意向客户。经过仔细分析,我们会发现客户分为很多不同的角色,一般在销售领域,会...
短视频更能赚钱,那短视频应如何制作呢? 网站建设

短视频更能赚钱,那短视频应如何制作呢?

如今做自媒体,在内容形式上我觉得短视频会更有优势,现在各短视频APP发展火爆,火山、抖音广告随处可见,内容投放平台有很多。且短视频更能满足大众的娱乐需求,爆的几率会比文章更高,无论是流量亦或是单价都很...
匿名

发表评论

匿名网友
:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: