DBA 必知：Oracle 密码哈希破解原理与防范实践 (woraauthbf 实测)

为何 DBA 需要了解密码破解？

• 遗留系统无文档、原开发人员离职，需恢复应用账号密码。
• 审计发现弱口令，需验证并强制整改。
• 理解哈希机制，制定合规的密码策略。

核心认知：拥有 DBA_USERS.PASSWORD 哈希值 ≠ 知道明文。Oracle 10g 及更早版本基于 DES 的哈希算法强度较低，易受离线暴力破解。

实测工具：woraauthbf (Laszlo Toth)

准备密码文件

SELECT USERNAME || ':' || PASSWORD || ':' || NAME || ':' || HOST_NAME || ':'
FROM SYS.DBA_USERS, SYS.V_$DATABASE, SYS.V_$INSTANCE;
-- 输出示例
SCOTT:DE59105EDBF4A687:ORCL:MYPC:

保存为 password_file.txt，SID 与主机名对破解无影响，仅作标识。

破解命令与结果

# 仅字母集，长度 6，双核并行
woraauthbf.exe -p c:\password_file.txt
-- 输出摘要
Password file: c:\password_file.txt, charset: alpha, maximum length: 6, type: hash
Number of pwds to check: 321,272,406
Password found: SCOTT:TIGERS:ORCL:MYPC
Elapsed time: 164s
Checked passwords: 153,976,754
Password/Second: 938,882

关键影响因素对比

防范措施

1. 升级 Oracle 11g+：引入 SHA-1 + Salt，哈希强度指数级提升。
2. 强制复杂密码策略：PROFILE 限制 PASSWORD_VERIFY_FUNCTION，最小长度 10+、混合大小写数字特殊字符。
3. 保护哈希暴露面：
   • 严控 SELECT ON SYS.USER$ / DBA_USERS 权限。
   • 审计所有对 DBA_USERS 的查询。
   • 网络层加密 (SQL*Net/TLS) 防止哈希嗅探。
4. 定期轮换服务账号密码，配合密码管理工具自动化。

法律与合规红线

仅在授权范围内对自有系统进行恢复性破解；未经授权获取他人哈希并破解属违法行为，严禁滥用。