Oracle TNS 314 协议分析——三、链接认证流程与包分析

Connect 流程

Client				Server
1	-------	Connect(01)	----->	获取链接字符串
2	<-----	Resend	-------
3	-------	Connect(01)	----->
4	<-----	Accept	-------	获取协议Version
5	-------	Data NetworkService(deadbeef)	----->	网络参数交换
6	<-----	Data NetworkService(deadbeef)	-------
7	-------	Data SetProtocal(01)	----->
8	<-----	Data SetProtocal(01)	-------
9	-------	Data SetDataTypes(02)	----->
10	<-----	Data SetDataTypes(02)	-------
11	-------	Data UOCIFun(03) GetSessionKey(76)	----->
12	<-----	Data OPIParam(08)  with 3 params Sessionkey，verifydata,，dbid	-------
13	-------	Data UOCIFun(03) Generic Auth call(73)	----->	获取验证参数：用户名，密码在此传输 Username sessionkey pass
14	<-----	Data OPIParam(08) with 40 params	-------	认证结果包含 AuthDBName；dbid：AuthUserID；SessionID
15	-------	Data Piggyback(11) session switch（6b）	----->
16	<-----	Data OPIParam(08)	-------	Oracle版本号

 

认证错误时从14包日后，会返回一个marker，而后客户端会发送一个请求marker，接着服务端返回错误信息，此过程详细参见错误信息返回这个章节

特殊数据定义

在分析32位和64位客户端时，能够注意到不一样版本客户端再解析上出现64位feffffffffffffff和00000000000000 在32位状况下分别都被代换为01和00的状况，因此咱们定义

feMagic，在32位时为0x01 64位下为0xfe ff ff ff ff ff ff ff

00Magic，在32位时为0x00 64位下为0x00 00 00 00 00 00 00 00

获取协议版本暨协议头解析

Connect 的Accept包是获取TNS版本号的最佳地点，Connect过程会协商版本号，Connect过程当中，client会传输本身支持的版本号，服务端会结合本身的状况，最终在Accept中选定一个版本号。Accept包的Package Type为2

Accept包格式

	32bit	64bit
Version	2	2	版本号
Service Option	2	2	Bit标志选项
Session Data Unit Size	2	2	一个DataUnit最多多大，在传输超长包时，Data 包会被拆解成如此大小的包
Max Transmition Unit Size	2	2	最大Data长度
Value Of 1	2	2	指定了服务端的Endian类型
Accept Data Length	2	2
Accept Data Offset	2	2	指向Accept data的指针，通常直接指向结尾（包含TNS头）
Connect Flag0	1	1	标志位
Connect Flag1	1	1	标志位
Unknown	8 or 17	8 or 17	未知，通常前8字节为0

Service Option:

    ..0. .... .... .... = Broken Connect Notify

    ...0 .... .... .... = Packet Checksum

    .... 0... .... .... = Header Checksum

    .... .0.. .... .... = Full Duplex

    .... ..0. .... .... = Half Duplex

    .... ...0 .... .... = Don't Care

    .... .... 0... .... = Don't Care

    .... .... ...0 .... = Direct IO to Transpor

    .... .... .... 0... = Attention Processing

    .... .... .... .0.. = Can Receive Attention

    .... .... .... ..0. = Can Send Attention

Connect Flag0 and flag1

    ...0 .... = NA services required

    .... 0... = NA services linked in

    .... .0.. = NA services enabled

    .... ..0. = Interchange is involved

    .... ...0 = NA services wanted

 

Accept包示例

​

代码示例

今后包中解析TNS version

--02 get tns version if(data:byte(3)==2) then tnsVersion=string.unpack(">I2",data:sub(7)) print("tnsVersion:"..tnsVersion) end

获取链接字符串及客户端信息

经过解析包Connect包能够得到链接字符串，进而获取客户端的详细信息，包含客户端程序，当前用户，windows版本等。

 

Connect包格式

	32bit	64bit
Version	2	2	版本号
Compatible Version	2	2	兼容最低版本
Service Options	2	2	Bit标志选项
Session Data Unit Size	2	2	一个DataUnit最多多大，在传输超长包时，Data 包会被拆解成如此大小的包
Max Transmition Unit Size	2	2	最大Data长度
NT Protocol Characteristics	2	2	网络参数
Line Turn Around Value	2	2
Value 1	2	2	指定了本地的Endian类型
Length of Connect Data	2	2	链接字符串长度
Offset of Connect Data	2	2	链接字符串从TNS头算的偏移量
Max Receivable Connect Data	4	4
Connection Flag0	1	1
Connection Flag1	1	1
Trace Across Facility item1	4	4
Trace Across Facility item2	4	4
Trace Unique Connection ID	8	8
unknown	8 or 20	8 or 20

Service Options,Connection Flag 同Accept

NT Protocol Characteristics:
    0... .... .... .... = Hangon to listener connect
    .0.. .... .... .... = Confirmed release
    ..0. .... .... .... = TDU based IO
    ...0 .... .... .... = Spawner running
    .... 0... .... .... = Data test
    .... .0.. .... .... = Callback IO supported
    .... ..0. .... .... = ASync IO Supported
    .... ...0 .... .... = Packet oriented IO
    .... .... 0... .... = Can grant connection to another
    .... .... .0.. .... = Can handoff connection to another
    .... .... ..0. .... = Generate SIGIO signal
    .... .... ...0 .... = Generate SIGPIPE signal
    .... .... .... 0... = Generate SIGURG signal
    .... .... .... .0.. = Urgent IO supported
    .... .... .... ..0. = Full duplex IO supported
    .... .... .... ...0 = Test operation

包示例

​

示例代码

获取TNS版本及链接字符串

if(data:byte(3)==1) then tnsVersion=string.unpack(">I2",data,7) print("requestTnsVersion:"..tnsVersion) local connectDataLength=string.unpack(">I2",data,23) local connectDataOffset=string.unpack(">I2",data,25) print("connect string:"..string.unpack("c"..connectDataLength,data,connectDataOffset-2)) end

网络参数交换（deadbeef）Secure Network Service

经过解析包 Data  Network Service 包能够得到网络相关参数好比servie version，其意义暂不明确，注意此包是data包，下面示例数据没有带data包头

包解析示例

​

获取验证参数

经过解析包dataid 03 callid 73能够得到用户名，密码hash等不少信息

包格式

	32bit	64bit
序列号	1	1
可变字节	16 or 20	44 or 48
用户名长度	1	1
用户名	上字节决定	上字节决定
Keyvalue pairs	变长	变长	sessionkey及密码等数据

可变头

注意到使用不一样客户端链接不一样数据库，数据包到用户名这里的偏移量不一样（可能缘由，oracle版本，不一样的客户端）

Sqlplus11 to oracle12c	Navicat to oracle11	32位Navicat
fe ff ff ff ff ff ff ff 18 00 00 00 01 01 00 00 fe ff ff ff ff ff ff ff 12 00 00 00 00 00 00 00 fe ff ff ff ff ff ff ff fe ff ff ff ff ff ff ff	fe ff ff ff ff ff ff ff 0f 00 00 00 01 01 00 00 fe ff ff ff ff ff ff ff 12 00 00 00 fe ff ff ff ff ff ff ff fe ff ff ff ff ff ff ff	01 0f 00 00 00 01 01 00 00 01 13 00 00 00 01 01

一个在序号后有44个字节，一个48个字节，具体处理能够先跳过44个字节看是否ff，若是是跳到48个字节

32位状况相似，只是将feMagic变为01，因此也有两种状况16或20个字节

​​​​​​​Keyvalue对

对灰色头部如下内容除直接跟的用户名外，所有以keyvalue形式存在。

Key和value间存在固定4字节未知字段，keyvalue对之间存在8字节未知字段。

Key和value均以长度开头，长度fe表示变长，fe后续一个字节的长度byte并以00结尾如sessionid的值。

下面以上面的包为例进行解析：

用户名：scott	0863232373636f7474
4字节未知字段	24000000
AUTH_SESSKEY	0c415554485f534553534b4559
4字节未知字段	20010000
value	fe403346334137413241324636443935363537434643383241304439314141383033354334334532413932313746424334384437313935343137323638374442414120423145303544373245443630413239333636454331334131444232423941303500
8字节未知字段	100000027000000
AUTH_PASSWORD	0d415554485f50415353574f5244
4字节未知字段	c0000000
value	4042353343343732314336334342323537334244423535383936364541364630363844353834423034364134313945373146463430444444363537464343343742
...	...
...	...
...	...
8字节未知字段	0000000030000000
AUTH_FAILOVER_ID	10415554485f4641494c4f5645525f4944
8字节未知字段	0000000000000000

 

​​​​​​​包示例

​

代码示例

获取用户名

--060307 get username if(data:byte(3)==6 and data:byte(9)==3 and data:byte(10)==0x73) then local userNamePos --test client 32bit or 64bit if(data:byte(12)~=0xfe)then is64Bit=false end if(is64Bit) then print("64bit:true") else print("64bit:false") end if(is64Bit) then if(data:byte(9+2+1+43)==0xff)then userNamePos=9+2+1+44 end if(data:byte(9+2+1+47)==0xff)then userNamePos=9+2+1+48 end else if(data:byte(9+2+1+15)==0xff)then userNamePos=9+2+1+16 end if(data:byte(9+2+1+21)==0xff)then userNamePos=9+2+1+20 end end if(userNamePos) then local username=string.unpack("s1",data,userNamePos) print("username:"..username) ngx.ctx.username=username end end

​​​​​​​获取Oracle版本号

在链接完成以后，客户端会发起data 116b包，内部后续一个data DB Version（033b）请求，ThinClient 下会直接发起data 033b，请求oracle版本，版本号以data 08包形式返回，解析其返回包能够得到Oracle版本号。注意返回的data 08 包不止在这里使用，不少命令的返回都使用此包，此种包有这样几种形式，

08后直接后续字段：如版本号包

08后后续返回字段数，再接续字段：好比认证结果返回

获取版本包格式以下

	32bit	64bit
unused	2	2	ThinDriver 此处为1
Banner Length	1	1	版本字符串长度
Banner	上字节决定	上字节决定	Oracle版本字符串
版本号	4	4	版本int表示，little endian，minor版本号和build号分别用第二个字节的高低4bit表示
变长结尾	变长	变长	多是1702包也多是0901包，内容不详

​​​​​​​包示例

​

​​​​​​​代码示例

--06033b oracle version request if(data:byte(3)==6 and data:byte(9)==3 and data:byte(10)==0x3b) then cHeaderPos=9 end --start to process db version request if(cHeaderPos>1 and data:byte(cHeaderPos)==3 and data:byte(cHeaderPos+1)==0x3b) then requestOracleVersion=true end --06089a get oracle version if(data:byte(3)==6 and requestOracleVersion) then local versionString,p=string.unpack("s1",data,12) print("oracleVersion:"..versionString) local minor oracleVersion.fix,oracleVersion.subbuild,minor,oracleVersion.major=string.unpack("BBBB",data,p) oracleVersion.minor=minor/16 oracleVersion.build=minor%16 print(oracleVersion.major..'.'..oracleVersion.minor..'.'..oracleVersion.build..'.'..oracleVersion.subbuild..'.'..oracleVersion.fix) requestOracleVersion=false end