修复AppScan漏洞扫描: Oracle application server pl/sql未授权的sql查询执行

一、问题描述：

使用App Scan扫描本公司互联网软件产品，报如下漏洞：

 

Oracle Application Server PL/SQL 未授权的 SQL 查询执行

方法 方法  从以下位置进行控制： POST 至： GET

主体 主体  从以下位置进行控制：

******************  至：

标题 标题  已从请求除去： application/x-www-form-urlencoded; charset=UTF-8

路径 路径  从以下位置进行控制： /Login/Login/Login 至： /Login/Login/owa_util.signature
推理： 推理：

AppScan 请求的文件可能不是应用程序的合法部分。响应状态为“200 OK”。这表示测试成功检索 了所请求的文件的内容

 

二、问题分析：

根据App Scan 报告中的分析如下：

缺省情况下，Oracle Application Server 会安装 OWA_UTIL PL/SQL 程序包，任何用户都可以访问它。这个程序包会 显现若干过程，可让用户执行任意 SQL 查询。

利用的样本：

[1] 这个请求会返回 sys 模式中 dba_users 表格中的前 100 列： 

GET /pls/DAD_NAME/owa_util.cellsprint?p_theQuery=select%20*%20from%20sys.dba_users HTTP/1.0

[2] 这个请求会返回 dba_us