Oracle SYS口令深入解析

在oracle7 8 8i中有一种特殊的数据库连接方式，叫做Internal 或 SYS用户。在Oracle9i中取消了Svrmgrl命令，也取消小了Internal，取而代之的是SYS用户。实际上oracle7 8 8i中Internal不是一个用户而是一种连接方式，但以Internal方式连接到数据库后便具有了与SYS用户不同或比SYS用户更多的权限。

在Oracle9i中SYS用户完全取代了Internal，当SYS用于以sysdba方式连接数据库是，便具有了与Internal登录数据库时相同的权限，可以启动和关闭数据库，创建新的数据库实例，创建控制文件，进行数据库备份和恢复。SYS连接数据库是必须以sysdba的方式连接。

SYS的默认密码是change_on_install 如果是oracle92的话，密码在安装之后会提示你修改。

       SYS用户密码的修改：

 

C:/>sqlplus /nolog

 

SQL*Plus: Release 9.0.1 .0.1 - Production on 星期三 7月 2 09:52:22 2008

 

(c) Copyright 2001 Oracle Corporation.  All rights reserved.

 

SQL> conn / as sysdba

已连接。

--方法1

SQL> grant connect to sys identified by aaa;

 

授权成功。

 

SQL> grant connect to system identified by manager;

 

授权成功。

--方法2

SQL> alter user sys identified by bbb;

 

用户已更改。

 

SQL> alter user system identified by bbb;

 

用户已更改。

--方法3

SQL> password system

更改system的口令

新口令:

重新键入新口令:

口令已更改

SQL>

 

但是password命令不是用于sys用户，按以上方法修改密码后，口令是否生效呢？

我们用刚才的密码测试一下看看：

 

C:/>sqlplus /nolog

 

SQL*Plus: Release 9.0.1 .0.1 - Production on 星期三 7月 2 09:59:10 2008

 

(c) Copyright 2001 Oracle Corporation.  All rights reserved.

 

SQL> show user

USER 为""

SQL> conn / as sysdba

已连接。

SQL> show user

USER 为"SYS"

SQL> conn sys/aaa as sysdba

已连接。

SQL> show user

USER 为"SYS"

SQL> conn sys/bbb as sysdba

已连接。

SQL> show user

USER 为"SYS"

SQL> conn system/ccc as sysdba

已连接。

SQL> show user

USER 为"SYS"

SQL> conn system/ccc

已连接。

SQL> show user

USER 为"SYSTEM"

SQL> conn ddd/ddd as sysdba

已连接。

SQL> show user

USER 为"SYS"

 

大家可以发现，只要以as sysdba进行连接的时候，启动的都是本机的SYS用户，而且密码是无效的。那么我们通过网络连接一下看看：

C:/>sqlplus /nolog

 

SQL*Plus: Release 9.2.0 .1.0 - Production on 星期三 7月 2 10:07:57 2008

 

Copyright (c) 1982, 2002, Oracle Corporation.  All rights reserved.

 

SQL> conn sys/bbb@yjsoft as sysdba

已连接。

SQL> show user

USER 为"SYS"

SQL> conn sys/ddd@yjsoft as sysdba

ERROR:

ORA-01017: invalid username/password; logon denied

 

 

警告: 您不再连接到 ORACLE。

SQL> conn sys/bbb@yjsoft as sysdba

已连接。

SQL> shutdown immediate

数据库已经关闭。

已经卸载数据库。

ORACLE 例程已经关闭。

SQL> conn gis/gis@yjsoft

ERROR:

ORA-01034: ORACLE not available

ORA-27101: shared memory realm does not exist

 

 

警告: 您不再连接到 ORACLE。

SQL> conn sys/bbb@yjsoft as sysdba

已连接到空闲例程。

SQL> startup

ORACLE 例程已经启动。

 

Total System Global Area  118255568 bytes

Fixed Size                   282576 bytes

Variable Size              83886080 bytes

Database Buffers           33554432 bytes

Redo Buffers                 532480 bytes

数据库装载完毕。

数据库已经打开。

SQL> conn gis/gis@yjsoft

已连接。

SQL>

 

大家可以注意到，此时数据库的密码已经生效，从这里我们可以看出，当在本地连接的时候，不管什么时候，只要以sysdba方式连接，采用的都是SYS用户，而网络连接时需要提供密码才能连上，连上之后可以进行与本地操作一样的所有权限。这里我们探讨一下oracle的验证方法：

远程数据库管理

本地数据库管理

是否要安全验证

是否由操作系统认证

本地数据库管理

本地数据库管理

是

是

否

否

在这里我们探讨一下在windows下的操作系统认证（因为没有unix环境），查看你的权限组

查看DBA所属的组，可以看到，他属于ORA_DBA组，我们把这个权限去掉，再看看

 

重新连接，我们看看

C:/>sqlplus /nolog

 

SQL*Plus: Release 9.0.1 .0.1 - Production on 星期三 7月 2 10:57:01 2008

 

(c) Copyright 2001 Oracle Corporation.  All rights reserved.

 

SQL> conn / as sysdba

ERROR：

ORA-01031: insufficient privileges

 

 

SQL> conn sys/bbb as sysdba

已连接。

SQL>

 

直接的连接已经不行了，所以，在本机的话，安装完成之后默认是使用操作系统认证的。

这个地方注意，在SQLNET.ora中的配置

SQLNET.AUTHENTICATION_SERVICES= (NTS/NONE)

NTS:操作系统认证

NONE:口令文件认证

当SQLNET.AUTHENTICATION_SERVICES=(NTS) 时，用的是系统认证方式，他会查看当前登陆系统的用户是否在ORA_DBA的组里，如果在这个组里，那么无论你用什么用户和密码，都是可以的，可以直接这样conn / as sysdba,不要用户名和密码，因为ORACLE根本不管；如果用的是密码文件认证方式，那么在初始文件里不能把remote_login_passwordfile 设置成NONE,那么这个时候修改密码才有效，而且这个时候conn / as sysdba就不可以了，必修输入正确的用户名和密码。 

 

现在我们更改初始配置文件，找到init.ora，找到remote_login_passwordfile=(EXCLUSIVE/SHARED)，默认是EXCLUSIVE，表示仅有一个实例可以使用口令文件，注释SQLNET.ora的SQLNET.AUTHENTICATION_SERVICES= (NTS),在前面加一个#就可以了。这是连接可以看到，虽然属于ORA_DBA组，但是仍然不能连接：

SQL> conn / as sysdba

ERROR：

ORA-01031: insufficient privileges

 

警告: 您不再连接到 ORACLE。

 

在windows NT/20000下如果需要修改sys用户的密码。

orapwd.exe,其格式为： orapwd file=%ORACLE_HOME%/database/pwd<SID>.ora password=xxxx entries=30 例如：

C:/>orapwd

Usage: orapwd file=<fname> password=<password> entries=<users>

 

  where

    file - name of password file (mand),

    password - password for SYS and INTERNAL (mand),

    entries - maximum number of distinct DBA and OPERs (opt),

  There are no spaces around the equal-to (=) character.

 

C:/>orapwd file=%ORACLE_HOME%/database/pwdyjsoft.ora password=xxxx entries=30

重新启动服务后密码生效，另外需要注意的是原来有一个默认的密码文件需要先删除

 

如果需要取消SYS用户的密码有多种方法可以做到：

1、  使用修改密码的方式，如上

2、  找到init.ora，找到remote_login_passwordfile 修改为NONE

3、  使用系统默认登陆，建立DBA_ORA组，设置SQLNET.AUTHENTICATION_SERVICES=(NTS)

4、  修改注册表，在注册表中增加关键字：DBA_AUTHORIZATION 其值为口令，路径为HKEY_LOCAL_MACHINE/SOFTWARE/ORACLE/HOME0