CN109271414A - 一种基于ipc的数据库本地通信的审计方法 - Google Patents

Abstract

本发明涉及一种基于IPC的数据库本地通信的审计方法，包括以下步骤：获取需要对Oracle动态库进行hack的动态库，该动态库用于实现自定义的hook函数功能；在Sql*plus程序启动时，将进行hack的动态库加载到Sql*plus的运行内存中，获取真正进行IPC通讯函数的地址，将Oracle动态库中原有的执行函数调用顺序进行篡改，利用劫取的Sql*plus进程与审计服务器通讯的信息进行审计。本发明在Oracle数据库使用客户端工具Sql*plus对数据库进行基于IPC通信的审计方式，根据对Sql*plus内存中的函数地址进行篡改，将通信中的数据镜像下来，再通过TCP将数据转发给审计服务器端进行审计，解决了原有数据库与客户端之间通信不通过网络便无法获取通信内容的难题，而且速度快，不会影响客户端的执行效率和执行结果。

Description

一种基于IPC的数据库本地通信的审计方法

技术领域

本发明属于数据库审计技术领域，尤其是一种基于IPC的数据库本地通信的审计方法。属于数据库审计技术领域。

背景技术

现有的数据库审计技术只能通过网络或者网卡抓包才能获取到数据库流量的审计方式，因此，在传统的数据库审计产品中，无法获取客户端与服务器端进行IPC通讯的内容，同时也无法无法审计命令行执行的客户端工具的内容。

发明内容

本发明的目的在于克服现有技术的不足，提出一种基于IPC的数据库本地通信的审计方法，解决了传统的数据库审计产品中无法获取客户端与服务器端进行IPC通讯的内容，以及无法审计命令行执行的客户端工具的内容的问题。

本发明解决其技术问题是采取以下技术方案实现的：

一种基于IPC的数据库本地通信的审计方法，包括以下步骤：

步骤1、获取需要对Oracle动态库进行hack的动态库，该动态库用于实现自定义的hook函数功能；

步骤2、在Sql*plus程序启动时，将进行hack的动态库加载到Sql*plus的运行内存中，获取真正进行IPC通讯函数的地址，将Oracle动态库中原有的执行函数调用顺序进行篡改，利用劫取的Sql*plus进程与审计服务器通讯的信息进行审计。

所述步骤1的具体实现方法为：设置linux平台上的LD_PRELOAD环境变量，利用环境变量使进程加载指定的动态库。

所述步骤2的具体实现方法包括以下步骤：

步骤2.1、获取真正进行IPC通讯函数地址的过程；

步骤2.2、将Oracle动态库中原有的执行函数调用顺序进行篡改；

步骤2.3、调用***函数在进程中映射出一块内存，将步骤1中对Oracle动态库进行hack的动态库中的hook函数写入内存中，使得Sql*plus进程运行内存中存在进行hack的函数；

步骤2.4、将步骤2.2中原有的执行函数的函数地址篡改为步骤2.3中对Oracle动态库进行hack的动态库中的hook函数的函数地址，使得Oracle动态库在用汇编指令调用执行函数时，跳转到对Oracle动态库进行hack的动态库中的hook函数，通过hook函数劫取到Sql*plus进程和服务器进行通讯的信息，并将其转发到审计服务器；

步骤2.5、劫取完信息之后，执行Oracle动态库中原有的执行函数，调用完hook函数之后，再次篡改hook函数的函数地址后面的汇编指令，使其跳转回Oracle动态库执行完执行函数之后的处理流程。

所述步骤2.1的具体实现方法为：

步骤2.1.1、通过linux上每个进程单独的proc内存文件找到Sql*plus进程中Oracle的动态库位置，使用命令对Oracle的动态库进行反编译，根据汇编代码找到真正进行IPC通讯的执行函数和一个特有的校验函数的位置；

步骤2.1.2、计算出真正进行IPC通讯的执行函数与校验函数的函数地址距离Oracle动态库的首地址的偏移量，该偏移量为Oracle动态库的首地址距离真正进行IPC通讯的执行函数与校验函数的函数地址的距离；

所述步骤2.2的具体实现方法为：

步骤2.2.1、首先调用***函数，打开Oracle动态库，再调用***函数获取Sql*plus进程运行内存中校验函数的函数地址，该校验函数的函数地址为距离Sql*plus进程的进程起始地址的偏移量；

步骤2.2.2、按照如下方法获取真正进行IPC通讯的执行函数的函数地址：

将步骤2.2.1获得的偏移量减去步骤2.1.2获得的偏移量，得到Sql*plus进程运行内存中Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量；

将Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量加上步骤2.1.2获取的真正进行IPC通讯的执行函数到Oracle动态库的首地址的偏移量，得到Sql*plus进程运行内存中进程的起始地址距离Oracle动态库中真正进行IPC通讯的执行函数的偏移量，从而得到正在进行IPC通讯的执行函数的函数地址,通过该函数地址对函数的调用顺序进行篡改。

所述执行函数包括read()函数和write()函数。

本发明的优点和积极效果是：

1、本发明在Oracle数据库使用客户端工具Sql*plus对数据库进行基于IPC通信的审计方式，根据对Sql*plus内存中的函数地址进行篡改，将通信中的数据镜像下来，再通过TCP将数据转发给审计服务器端进行审计，解决了原有数据库与客户端之间通信不通过网络便无法获取通信内容的难题。

2、本发明能够安全高效地在不损坏数据的前提下将数据镜像下来，其速度快，不会影响客户端的执行效率和执行结果；可广泛应用于数据库审计或数据库防火墙等网络安全产品中。

3、本发明只需在客户端进行部署，对服务端的数据不会造成任何损坏，安全，高效，可用，并且有一定的通用性，可供其他审计模式借鉴。

附图说明

图1是本发明逐步获取Oracle动态库中真正进行IPC通讯函数地址的原理图；

图2是本发明进行hack处理的原理图。

具体实施方式

以下结合附图对本发明实施例做进一步详述。

一种基于IPC的数据库本地通信的审计方法，如图1及图2所示，包括以下步骤：

步骤1、获取需要对Oracle动态库进行hack的动态库，该动态库实现自定义的hook函数功能。只有把动态库加载到Sql*plus进程的运行内存中，才能实现对IPC通讯过程中调用过程的篡改。

在本步骤中，通过设置linux平台上的LD_PRELOAD环境变量，该环境变量可以使进程加载指定的动态库。在将进行hack的动态库的路径设置到此环境变量之后，Sql*plus进程将在运行时加载进行hack的动态库。

步骤2、当Sql*plus程序启动，进行hack的动态库加载到Sql*plus的运行内存中，并且根据linux的标准，Sql*plus执行动态库中的init函数，该init函数将执行以下几个过程：获取真正进行IPC通讯函数的地址，将Oracle动态库中原有的执行函数调用顺序进行篡改，利用劫取的Sql*plus进程与审计服务器通讯的信息进行审计。

本步骤的具体处理过程为：

步骤2.1、获取真正进行IPC通讯函数地址的过程，具体过程如下：

步骤2.1.1、通过linux上每个进程单独的proc内存文件找到Sql*plus进程中Oracle的动态库位置，使用命令对Oracle的动态库进行反编译，根据汇编代码找到真正进行IPC通讯的read()函数、write()函数和一个特有的校验函数的位置，此校验函数是此Oracle动态库唯一的，使用此校验函数的目的是为了消除***将动态库内存对齐之后产生的偏移量的误差。

步骤2.1.2、根据图1计算出真正进行IPC通讯的read()函数、write()函数与校验函数的函数地址距离Oracle动态库的首地址的偏移量(偏移量2)，此偏移量就为Oracle动态库的首地址距离真正进行IPC通讯的read()函数、write()函数与校验函数的函数地址的距离。

步骤2.2、将Oracle动态库中原有的执行函数调用顺序进行篡改，具体方法如下：

步骤2.2.1、先调用***函数，打开Oracle动态库，再调用***函数获取Sql*plus进程运行内存中校验函数的函数地址，该地址为运行内存中此校验函数的地址，是进行完内存对齐之后的地址，并且也是此校验函数的函数地址距离Sql*plus进程的进程起始地址的偏移量(偏移量1)。

步骤2.2.2、获取真正进行IPC通讯的read()函数、write()函数的函数地址，方法如下：

步骤2.2.2.1、偏移量1为步骤2.2.1中获取的校验函数的函数地址距离Sql*plus进程的进程起始地址的偏移量。

步骤2.2.2.2、偏移量2为步骤2.1.2中获取的Oracle动态库的首地址距离校验函数的函数地址的偏移量。

步骤2.2.2.3、将2.2.2.1的偏移量1减去2.2.2.2的偏移量2，即为Sql*plus进程运行内存中Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量。

步骤2.2.2.4、将2.2.2.3获取的偏移量再加上2.1.2中获取的真正进行IPC通讯的read()函数、write()函数到Oracle动态库的首地址的偏移量，即可得到Sql*plus进程运行内存中进程的起始地址距离Oracle动态库中真正进行IPC通讯的read()函数、write()函数的偏移量(偏移量3)，并且也是真正进行IPC通讯的read()函数、write()函数的函数地址，得到函数地址，我们就可对函数的调用顺序进行篡改。

步骤2.3、调用***函数在进程中映射出一块内存，并将其置为可写。具体方法为：将步骤1中的对Oracle动态库进行hack的动态库中的hook函数写入内存中，这样Sql*plus进程运行内存中便有了进行hack的函数。

步骤2.4、将步骤2.2.2.4中的read()函数、write()函数的函数地址篡改为步骤2.3中对Oracle动态库进行hack的动态库中的hook函数的函数地址，这样Oracle动态库在用汇编指令调用read()函数、write()函数时，将会跳转到对Oracle动态库进行hack的动态库中的hook函数，通过我们实现的hook函数，便能劫取到Sql*plus进程和服务器进行通讯的信息，并将其转发到我们的审计服务器

步骤2.5、劫取完信息之后执行Oracle动态库中原有的read()函数、write()函数，保证原有的通讯的流程，调用完hook函数之后，再次篡改hook函数的函数地址后面的汇编指令，使其跳转回Oracle动态库执行完read()函数、write()函数之后的处理流程，保证Sql*plus进程的正常运行。

通过以上步骤，我们便劫取了Sql*plus进程与服务器通讯的信息进行审计，并且也保证了Sql*plus进程原有的通讯流程，不影响正常业务；并且我们是劫取Sql*plus进程所在的客户端的数据，不会对服务器端所存储的数据造成任何影响，安全稳定高效。

需要强调的是，本发明所述的实施例是说明性的，而不是限定性的，因此本发明包括并不限于具体实施方式中所述的实施例，凡是由本领域技术人员根据本发明的技术方案得出的其他实施方式，同样属于本发明保护的范围。

Claims (5)

1.一种基于IPC的数据库本地通信的审计方法，其特征在于包括以下步骤：

步骤1、获取需要对Oracle动态库进行hack的动态库，该动态库用于实现自定义的hook函数功能；

步骤2、在Sql*plus程序启动时，将进行hack的动态库加载到Sql*plus的运行内存中，获取真正进行IPC通讯函数的地址，将Oracle动态库中原有的执行函数调用顺序进行篡改，利用劫取的Sql*plus进程与审计服务器通讯的信息进行审计。

2.根据权利要求1所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述步骤1的具体实现方法为：设置linux平台上的LD_PRELOAD环境变量，利用环境变量使进程加载指定的动态库。

3.根据权利要求1所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述步骤2的具体实现方法包括以下步骤：

步骤2.1、获取真正进行IPC通讯函数地址的过程；

步骤2.2、将Oracle动态库中原有的执行函数调用顺序进行篡改；

步骤2.3、调用***函数在进程中映射出一块内存，将步骤1中对Oracle动态库进行hack的动态库中的hook函数写入内存中，使得Sql*plus进程运行内存中存在进行hack的函数；

步骤2.4、将步骤2.2中原有的执行函数的函数地址篡改为步骤2.3中对Oracle动态库进行hack的动态库中的hook函数的函数地址，使得Oracle动态库在用汇编指令调用执行函数时，跳转到对Oracle动态库进行hack的动态库中的hook函数，通过hook函数劫取到Sql*plus进程和服务器进行通讯的信息，并将其转发到审计服务器；

步骤2.5、劫取完信息之后，执行Oracle动态库中原有的执行函数，调用完hook函数之后，再次篡改hook函数的函数地址后面的汇编指令，使其跳转回Oracle动态库执行完执行函数之后的处理流程。

4.根据权利要求3所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述步骤2.1的具体实现方法为：

步骤2.1.1、通过linux上每个进程单独的proc内存文件找到Sql*plus进程中Oracle的动态库位置，使用命令对Oracle的动态库进行反编译，根据汇编代码找到真正进行IPC通讯的执行函数和一个特有的校验函数的位置；

步骤2.1.2、计算出真正进行IPC通讯的执行函数与校验函数的函数地址距离Oracle动态库的首地址的偏移量，该偏移量为Oracle动态库的首地址距离真正进行IPC通讯的执行函数与校验函数的函数地址的距离；

所述步骤2.2的具体实现方法为：

步骤2.2.1、首先调用***函数，打开Oracle动态库，再调用***函数获取Sql*plus进程运行内存中校验函数的函数地址，该校验函数的函数地址为距离Sql*plus进程的进程起始地址的偏移量；

步骤2.2.2、按照如下方法获取真正进行IPC通讯的执行函数的函数地址：

将步骤2.2.1获得的偏移量减去步骤2.1.2获得的偏移量，得到Sql*plus进程运行内存中Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量；

将Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量加上步骤2.1.2获取的真正进行IPC通讯的执行函数到Oracle动态库的首地址的偏移量，得到Sql*plus进程运行内存中进程的起始地址距离Oracle动态库中真正进行IPC通讯的执行函数的偏移量，从而得到正在进行IPC通讯的执行函数的函数地址,通过该函数地址对函数的调用顺序进行篡改。

5.根据权利要求1至4任一项所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述执行函数包括read()函数和write()函数。