Pada konferensi DerbyCon 2.0, pakar keamanan Laszlo Toth dan Ferenc Spala mempresentasikan beberapa serangan, termasuk yang sebelumnya belum dikenal, pada database Oracle dan server SQL. Mereka bahkan telah merilis perangkat yang dapat melakukan eksploit pada keduanya.

Dalam presentasi berjudul "Hacking the Oracle Client", Laszlo Toth mendemonstrasikan bahwa meskipun Oracle menyimpan nama pengguna dan password di database dalam format terenkripsi di dalam memori utama klien, data ini masih tertinggal di memori setelah sesi selai dan dapat dengan mudah didekripsi. Sebuah trojan, misalnya, dapat mengeksploitasi hal ini untuk memanen password dalam format plain-text dari klien, yang secara menakjubkan ditunjukan oleh ekstensi meterpreter ocioralog.

Videonya dapat dilihat di : http://tutorial.rumahilmu.or.id/inde...clehacking.flv

Para pakar ini juga mendemontrasikan bagaimana koneksi Oracle dapat dibajak dan dieksploitasi. Dikarenakan adalah celah keamanan TNS poisoning yang belum ditambal, pendekatan yang mereka lakukan ini berfungsi pada setiap database Oracle standar, kecuali jika ada perlakukan keamanan khusus pada listener TNS yang dipasang. Proxy TNS pytnsproxy yang dikombinasikan dengan modul Metasploit yang disebut tnspoison, memperkenankan seorang penyerang yang tidak terotentikasi untuk melakukan sniff atau memodifikasi koneksi ke database. Perintah SQL tertentu bahkan bisa dikirim menggunakan TNS Proxy.

Di bagian akhir, para peneliti menampilkan ekstensio meterpreter yang disebut oralog. Ekstensi ini adalah sejenis sniffer password yang menulis semua password pengguna database yang ada di dalam server database ke dalam bentuk file yang tidak terenkripsi. Ini adalah modul Metasploit lain yang dapat membuat seorang penyerang bisa mengeksekusi perintah sistem operasi pada lubang oradebug.

Ekstensi tersebut kini tersedia untuk para peneliti dan penguji keamanan.

Sumber : H-Online
Terjemah Bebas oleh http://forum.rumahilmu.or.id

• Dasar-dasar logika
• Pengantar server Mail
• Sejarah singkat SMK Plus Al-Hasanah
• Sejarah atau dongeng situ bagendit
• Sejarah komputer dan perkembangannya
• FFMpeg capai rilis 1.0
• 4,5 juta router dihack
• Mozilla angkat mantan kepala pemasaran Ubuntu sebagai Direktur Pemasaran
• Metode Baru Hacking Database Oracle Dipresentasikan
• LibreOffice versi 3.6.2 (update maintenance) Dirilis