代码之家 › 专栏 › 技术社区 › Forrest Marvez

正在验证重置应用程序的用户Oracle密码

forgot-password passwords oracle asp.net

Forrest Marvez · 技术社区 · 15 年前

这是编程和系统管理的混合,但我认为它更像是一个编程问题。

当前正在构建用于管理Oracle用户帐户的密码管理Web应用程序(C)。

作用域要求在允许用户设置新密码之前验证用户的Oracle用户名和密码。如果不创建用户密码表(哈希或其他方式,这是一个安全风险),如何验证旧用户密码?

我当前的解决方案是尝试使用用户指定的用户名/密码连接到数据库。太多这样的尝试会将用户锁定在甲骨文端,因此暴力强迫并不太合理。我是否还有其他安全隐患,或者有更好的方法来处理?

我们使用ad作为主要身份验证,但是ad帐户与oracle帐户没有关联,所以这只是一个初步检查。

应用程序的流程(如果这有帮助):

检查适当域(Intranet)的AD
用户输入Oracle用户名/密码
输入旧密码、新密码+确认
如果正确,重置密码

3 回复 | 直到 15 年前

Jeffrey Kemp 15 年前

正如dpbradley建议的那样,我将使用提供的凭据连接到数据库。如果成功,让他们更改密码。

Gary Myers 15 年前

oracle密码的散列算法是众所周知的,并且不难 duplicate . 因此,您可以获取用户的条目,使用相同的算法对其进行散列,并将其与散列值匹配。该值在11g之前的dba_用户或sys.user$中可见。

这种方法的危险在于使散列可用,从而允许对密码进行暴力破解(这就是为什么11g使散列值不太可见的原因)。

Ian Hern 15 年前

当调用alter user时,您可以添加replace关键字,这样它只会在您输入了正确的旧密码(例如,alter user username identified by newpassword replace old password)时更改用户。在某些情况下,如果您输入了不正确的旧密码,这不会导致错误。但如果你遇到问题你可以查一下。

推荐文章

maddy · 如何根据oracle SQL中的某一列值进行排名

2 年前

kiric8494 · 显示以元音开头和结尾的城市名称

2 年前

Marko Masnikosa · 为什么SUBSTR不使用instr在结束索引处停止?

2 年前

Franz Biberkopf · Oracle:组合子查询和聚合函数

2 年前

BitLauncher · 甲骨文-如何模拟位列和布尔和/或?

2 年前

Arifullah · 如何从oracle中的列中删除特定的初始字符?

3 年前

Anar · Oracle SQL用户定义函数

3 年前

Ewerton Alves · 如何获取下一季度的数据-ORACLE SQL

3 年前

Pierre-olivier Gendraud · 如何在sql*plus中执行动态sql语句

3 年前

user1312312 · 如何为一组表编写通用触发器?

3 年前