adminschool.net wiki

문서의 이전 판입니다!

Public으로부터 불필요한 권한 회수

개요 : DB서버의 사용자 그룹 PUBLIC으로부터 불필요한 권한과 롤(Role)을 회수
- PUBLIC : 오라클 DB로 모든 사용자에 허가하는 default로서 작동. 어느 DB•사용자에서도 PUBLIC에 허가되는 권한 행사 가능
오용 가능성 있는 PL/SQL 패키지
- UTL_SMTP : A라는 임의의 사용자로부터 다른 임의의 사용자 앞으로 임의의 메일을 보내는 것을 가능하게 한다.
  이 패키지에 PUBLIC권한을 부여하면 메일의 부정한 교환이 가능해진다.
- UTL_TCP : DB서버로부터 네트워크 서비스에 대한 외부의 네트워크 접속 허용.
  PUBLIC에 이 패키지를 허가하면, DB로부터 외부의 네트워크 서비스에 대해서 임의의 데이터를 보내는것이 가능해진다.
- UTL_HTTP : DB서버가 HTTP를 이용해 데이터를 요구하고 얻을 수 있게 한다.
  PUBLIC에 이 패키지를 허가하면, HTML폼에 의해서 악의적인 목적이 있는 웹사이트에 임의의 데이터를 보내는것이 가능해진다.
- UTL_FILE : 부적절하게 구성되었을 경우 이 패키지는 호스트 OS 시스템의 어느 파일에 대해서도 텍스트 레벨에서의 액세스를 허용한다.