Лекции по предмету омбт (Oracle 9i маълумотлар базаси технологияси) Лекция Введение в Oracle 9i. План

Использование SQL*Plus

SQL*Plus позволяет использовать интерфейс командной строки для написания команд SQL*Plus, SQL и PL/SQL. При этом можно:

• вводить, редактировать, выполнять, хранить, выбирать и сохранять команды SQL

и блоки PL/SQL;
• форматировать, подсчитывать, хранить и выводить результаты запросов;
• просматривать определения столбцов любой таблицы;
• посылать сообщения и принимать ответы от конечных пользователей;
• выполнять работы по администрированию базы данных.

Шаги запуска SQL*Plus:

1. Откройте терминальное окно.

2. Введите в командной строке после символа приглашения: $ sqlplus /nolog
3. Введите connect и через пробел имя подсоединяющегося пользователя.
4. В ответ на запрос введите пароль пользователя.

В результате SQL*Plus запушен и подсоединен к базе данных по умолчанию.

Вызов SQL*Plus из скрипта командного процессора

SQL*Plus можно вызвать из скрипта командного процессора или ВАТ-файла. Для этого в скрипте указывается команда sqlplus, которой передаются параметры с использованием синтаксиса, который зависит от операционной системы.

В приведенном примере команды SELECT, UPDATE и COMMIT выполняются до возврата управления операционной системе.

Вызов скрипта SQL из SQL*Plus

Из SQL*Plus можно вызвать существующий SQL-скрипт. Вызвать существующий SQL-скрипт можно в сеансе SQL*Plus, воспользовавшись для этого оператором "@". Например, в уже установленном сеансе SQL*Plus можно ввести:

Код:
SQL> @script.sql

Уязвимость в Oracle iSQL*Plus

Группой NGSSoftware обнаружена серьезная уязвимость в Oracle iSQL*Plus - веб-приложении, позволяющем пользователям формировать запросы к базе данных.

Уязвимость присутствует в базе данных Oracle 9i R1,2 всех ОС. Приложение инсталлируется вместе с Oracle 9 и запускается "поверх" Apache. Обнаруженная уязвимость носит характер DoS (отказ в обслуживании).

iSQL*Plus требует от пользователя до обработки запроса произвести вход в систему. После доступа к URL по умолчанию от имени пользователя "/isqlplus" предоставляется экран авторизации. При посылке веб-серверу слишком длинного параметра ID пользователя происходит переполнение внутреннего буфера на стеке с перезаписью сохраненного адреса возврата в программу. Это может позволить удаленному злоумышленнику запустить произвольный код в контексте безопасности веб-сервера (пользователь "SYSTEM" в Win-системах или пользователь "oracle" в других ОС). Взломанный таким образом веб-сервер может в дальнейшем использоваться для проведения атак на сервер базы данных.