Oracle数据库连接信息安全风险：SID等非凭证类信息敏感度问询

除明文密码之外的所有连接参数，都属于中等敏感的运维内部信息，单独泄露不会直接导致数据库被入侵，但会显著降低攻击门槛，大幅提升定向攻击的成功率。

各非密码连接信息的敏感程度与对应风险 #

• Host/IP、端口：属于最基础的服务定位信息，攻击者拿到后可以直接定位Oracle服务的部署位置，快速完成端口扫描、服务版本识别、已知漏洞探测等前置攻击动作。如果数据库端口直接对公网开放，该信息泄露后会直接将数据库纳入恶意爬虫的常态化攻击靶标列表。
• TNS配置、SID/服务名：是Oracle实例的唯一识别标识，相当于数据库的「专属门牌号」。拿到SID/服务名之后，攻击者才能构造合法的Oracle连接请求串，开展后续的密码爆破、漏洞利用操作；如果没有该信息，即使拿到IP、端口和用户名，也无法发起有效的连接测试。
• 用户名：属于身份凭据的核心组成部分，和SID结合后，攻击者就凑齐了密码爆破的所有前置条件，可以直接针对已知账号跑字典、发起暴力破解；如果泄露的是SYS、SYSTEM这类高权限管理员账号，风险还会进一步提升。

单独泄露某一项非密码连接信息的风险极低，但如果IP+端口+SID+用户名同时被第三方获取，相当于你家的地址、门牌号、户主身份全部公开，攻击者只需要破解密码就能直接获得数据库访问权限，针对弱密码场景几乎可以直接导致数据泄露。

对应防护建议 #

• 非必要不将Oracle数据库的IP、端口对公网开放，内部访问优先通过VPN、来源IP白名单做访问限制
• 避免使用ORCL这类默认SID，自定义复杂度更高的SID/服务名值
• 所有账号禁用弱密码，高权限账号定期更换密码，同时开启Oracle的登录失败锁定策略，阻断暴力破解路径
• 非必要不对外泄露任何数据库连接相关信息，包括非密码类的参数

内容的提问来源于stack exchange，提问作者Steve Renyolds