数据库用户避开了LOGON_AUDIT触发器

最新推荐文章于 2021-04-14 01:46:23 发布

rudy_gao

最新推荐文章于 2021-04-14 01:46:23 发布

阅读量1.3k

点赞数

分类专栏： oracle_安全

oracle_安全专栏收录该内容

6 篇文章

订阅专栏

本文介绍了一种通过创建LOGON_AUDIT触发器来防止生产账号从办公网络非法登录的方法，详细解释了触发器的实现原理及在实际应用中遇到的问题与解决方案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

为了防止从办公网络试用生产账号登陆生产主机非法获取用户信息(因为我们的生产账号是不作审计的,个人账号作审计,因此要避免生产账号从办公网络登陆主机),我们写了个LOGON_AUDIT的触发器,如下:

CREATE OR REPLACE TRIGGER sys.LOGON_AUDIT
　　AFTER LOGON ON DATABASE
　　declare
　　lv_user varchar2(100);
　　lv_host varchar2(100);
　　lv_schema varchar2(100);
　　lv_suser varchar2(100);
　　lv_ip varchar2(100);
　　BEGIN
　　select sys_context(‘USERENV’, ‘HOST’),
　　sys_context(‘USERENV’, ‘CURRENT_USER’),
　　sys_context(‘USERENV’, ‘CURRENT_SCHEMA’),
　　sys_context(‘USERENV’, ‘SESSION_USER’),
　　sys_context(‘USERENV’, ‘IP_ADDRESS’)
　　into lv_host, lv_user, lv_schema, lv_suser, lv_ip
　　from dual;
　　if lv_suser = ‘USERNAME’ then
　　if substr(lv_ip, 1, in (‘xx.xx.xx’)
　　or lv_ip is null
　　then
　　null ;
　　else
　　RAISE_APPLICATION_ERROR(-20001, ‘CONNECTIION REFUSED’||lv_ip);
　　end if;
　　end if;
　　END;

　　测试的时候,通过,可是在正式使用中,却发现有的生产主机没有办法拒绝办公网络的登陆.那就查问题呗.

　　查来查去,发现似乎应该是权限的问题.在检查,发现凡是不能拒绝办公网络登陆的数据库用户有一个IMP_FULL_DATABASE的角色.这个角色的权限非常的高,仔细检查这个角色的权限,发现其中有一个权限为:ADMINISTER DATABASE TRIGGER,将这个权限从用户上revoke后,登陆就会被拒绝,如果将这个权限授予用户,就会避开系统的LOGON_AUDIT触发器,能继续登陆,问题是找到了,啥时候能重新授权列,只能等待,慢慢的等到系统上线或者例行维护的时候了,这个权限的重新授予风险还是很高的.不过问题找到了就ok.