Oracle Listener (tnslsnr) 未設密碼風險與 LSNRCTL 設定密碼完整步驟

風險描述

遠端 Listener 未設密碼，攻擊者可任意：

• 關閉 Listener (LSNRCTL STOP)
• 設定新密碼鎖定合法管理員
• 查詢服務狀態、版本、端點等偵察資訊
• 結合其他漏洞 (如 TNS Poison、CVE-2012-1675) 進一步滲透

預設安裝 不設密碼，必須主動配置。

LSNRCTL 互動式設定密碼流程

$ $ORACLE_HOME/bin/lsnrctl
LSNRCTL> CHANGE_PASSWORD
Old password: <直接 Enter，若原有密碼則輸入>
New password: <輸入新強密碼>
Reenter new password: <再次確認>
Connecting to (ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1521))
Password changed for LISTENER
The command completed successfully
LSNRCTL> SET PASSWORD
Password: <輸入新密碼>
LSNRCTL> SAVE_CONFIG
Connecting to (ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1521))
Saved LISTENER configuration parameters.
Listener Parameter File   /u01/app/oracle/product/19c/dbhome_1/network/admin/listener.ora
Old Parameter File   /u01/app/oracle/product/19c/dbhome_1/network/admin/listener.ora.bak
The command completed successfully

listener.ora 關鍵參數 (SAVE_CONFIG 後自動寫入)

PASSWORDS_LISTENER = 8F3A... (加密雜湊值)
ADMIN_RESTRICTIONS_LISTENER = ON  -- 建議啟用，限制遠端管理指令

驗證密碼生效

LSNRCTL> STATUS
Connecting to (ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1521))
TNS-01169: The listener has not recognized the password
LSNRCTL> SET PASSWORD
Password: <輸入密碼>
LSNRCTL> STATUS
... 正常顯示狀態 ...

進階防護建議

1. 啟用 ADMIN_RESTRICTIONS：ADMIN_RESTRICTIONS_LISTENER=ON，禁止遠端 STOP、SET、SAVE_CONFIG 等管理指令，僅允許本機 OS 認證用戶執行。
2. 限制網路存取：防火牆/安全組僅開放應用伺服器 IP 存取 1521/TCP；管理網段單獨開放。
3. 使用 TCPS (SSL/TLS)：PROTOCOL=TCPS，加密傳輸、雙向認證，防竊聽/中間人。
4. 定期輪換密碼：納入密碼管理政策，每 90 天輪換，同步更新應用連線池配置。
5. 監控 Listener 日誌：DIAG_ADR_ENABLED=ON，LOG_DIRECTORY、LOG_FILE 定期審計異常連線嘗試。

常見問題

一鍵腳本化 (非互動式)

#!/bin/bash
# set_listener_password.sh
ORACLE_HOME=/u01/app/oracle/product/19c/dbhome_1
NEW_PASS="StrongPass#2024"

$ORACLE_HOME/bin/lsnrctl <