Connect 流程
Client |
|
|
|
Server |
1 |
------- |
Connect(01) |
-----> |
获取连接字符串 |
2 |
<----- |
Resend |
------- |
|
3 |
------- |
Connect(01) |
-----> |
|
4 |
<----- |
Accept |
------- |
获取协议Version |
5 |
------- |
Data NetworkService(deadbeef) |
-----> |
网络参数交换 |
6 |
<----- |
Data NetworkService(deadbeef) |
------- |
|
7 |
------- |
Data SetProtocal(01) |
-----> |
|
8 |
<----- |
Data SetProtocal(01) |
------- |
|
9 |
------- |
Data SetDataTypes(02) |
-----> |
|
10 |
<----- |
Data SetDataTypes(02) |
------- |
|
11 |
------- |
Data UOCIFun(03) GetSessionKey(76) |
-----> |
|
12 |
<----- |
Data OPIParam(08) with 3 params Sessionkey,verifydata,,dbid |
------- |
|
13 |
------- |
Data UOCIFun(03) Generic Auth call(73) |
-----> |
获取验证参数:用户名,密码在此传输 Username sessionkey pass |
14 |
<----- |
Data OPIParam(08) with 40 params |
------- |
认证结果包含 AuthDBName;dbid:AuthUserID;SessionID |
15 |
------- |
Data Piggyback(11) session switch(6b) |
-----> |
|
16 |
<----- |
Data OPIParam(08) |
------- |
Oracle版本号 |
认证错误时从14包往后,会返回一个marker,然后客户端会发送一个请求marker,接着服务端返回错误信息,此过程详细参见错误信息返回这个章节
特殊数据定义
在分析32位和64位客户端时,可以注意到不同版本客户端再解析上出现64位feffffffffffffff和00000000000000 在32位情况下分别都被代换为01和00的情况,所以我们定义
feMagic,在32位时为0x01 64位下为0xfe ff ff ff ff ff ff ff
00Magic,在32位时为0x00 64位下为0x00 00 00 00 00 00 00 00
获取协议版本暨协议头解析
Connect 的Accept包是获取TNS版本号的最佳地点,Connect过程会协商版本号,Connect过程中,client会传输自己支持的版本号,服务端会结合自己的情况,最终在Accept中选定一个版本号。Accept包的Package Type为2
Accept包格式
|
32bit |
64bit |
|
Version |
2 |
2 |
版本号 |
Service Option |
2 |
2 |
Bit标志选项 |
Session Data Unit Size |
2 |
2 |
一个DataUnit最多多大,在传输超长包时,Data 包会被拆解成如此大小的包 |
Max Transmition Unit Size |
2 |
2 |
最大Data长度 |
Value Of 1 |
2 |
2 |
指定了服务端的Endian类型 |
Accept Data Length |
2 |
2 |
|
Accept Data Offset |
2 |
2 |
指向Accept data的指针,一般直接指向结尾(包含TNS头) |
Connect Flag0 |
1 |
1 |
标志位 |
Connect Flag1 |
1 |
1 |
标志位 |
Unknown |
8 or 17 |
8 or 17 |
未知,一般前8字节为0 |
Service Option:
..0. .... .... .... = Broken Connect Notify
...0 .... .... .... = Packet Checksum
.... 0... .... .... = Header Checksum
.... .0.. .... .... = Full Duplex
.... ..0. .... .... = Half Duplex
.... ...0 .... .... = Don't Care
.... .... 0... .... = Don't Care
.... .... ...0 .... = Direct IO to Transpor
.... .... .... 0... = Attention Processing
.... .... .... .0.. = Can Receive Attention
.... .... .... ..0. = Can Send Attention
Connect Flag0 and flag1
...0 .... = NA services required
.... 0... = NA services linked in
.... .0.. = NA services enabled
.... ..0. = Interchange is involved
.... ...0 = NA services wanted
Accept包示例
代码示例
从此包中解析TNS version
获取连接字符串及客户端信息
通过解析包Connect包可以获得连接字符串,进而获取客户端的详细信息,包含客户端程序,当前用户,windows版本等。
Connect包格式
|
32bit |
64bit |
|
Version |
2 |
2 |
版本号 |
Compatible Version |
2 | 2 | 兼容最低版本 |
Service Options |
2 |
2 |
Bit标志选项 |
Session Data Unit Size |
2 |
2 |
一个DataUnit最多多大,在传输超长包时,Data 包会被拆解成如此大小的包 |
Max Transmition Unit Size |
2 |
2 |
最大Data长度 |
NT Protocol Characteristics |
2 |
2 |
网络参数 |
Line Turn Around Value |
2 |
2 |
|
Value 1 |
2 |
2 |
指定了本地的Endian类型 |
Length of Connect Data |
2 |
2 |
连接字符串长度 |
Offset of Connect Data |
2 |
2 |
连接字符串从TNS头算的偏移量 |
Max Receivable Connect Data |
4 |
4 |
|
Connection Flag0 |
1 | 1 | |
Connection Flag1 |
1 | 1 | |
Trace Across Facility item1 |
4 | 4 | |
Trace Across Facility item2 | 4 | 4 | |
Trace Unique Connection ID |
8 | 8 | |
unknown |
8 or 20 | 8 or 20 |
Service Options,Connection Flag 同Accept
NT Protocol Characteristics:
0... .... .... .... = Hangon to listener connect
.0.. .... .... .... = Confirmed release
..0. .... .... .... = TDU based IO
...0 .... .... .... = Spawner running
.... 0... .... .... = Data test
.... .0.. .... .... = Callback IO supported
.... ..0. .... .... = ASync IO Supported
.... ...0 .... .... = Packet oriented IO
.... .... 0... .... = Can grant connection to another
.... .... .0.. .... = Can handoff connection to another
.... .... ..0. .... = Generate SIGIO signal
.... .... ...0 .... = Generate SIGPIPE signal
.... .... .... 0... = Generate SIGURG signal
.... .... .... .0.. = Urgent IO supported
.... .... .... ..0. = Full duplex IO supported
.... .... .... ...0 = Test operation
包示例
示例代码
获取TNS版本及连接字符串
网络参数交换(deadbeef)Secure Network Service
通过解析包 Data Network Service 包可以获得网络相关参数比如servie version,其意义暂不明确,注意此包是data包,下面示例数据没有带data包头
包解析示例
获取验证参数
通过解析包dataid 03 callid 73可以获得用户名,密码hash等很多信息
包格式
|
32bit |
64bit |
|
序列号 |
1 |
1 |
|
可变字节 |
16 or 20 |
44 or 48 |
|
用户名长度 |
1 |
1 |
|
用户名 |
上字节决定 |
上字节决定 |
|
Keyvalue pairs |
变长 |
变长 |
sessionkey及密码等数据 |
可变头
注意到使用不同客户端连接不同数据库,数据包到用户名这里的偏移量不同(可能原因,oracle版本,不同的客户端)
Sqlplus11 to oracle12c |
Navicat to oracle11
|
32位Navicat |
fe ff ff ff ff ff ff ff 18 00 00 00 01 01 00 00 fe ff ff ff ff ff ff ff 12 00 00 00 00 00 00 00 fe ff ff ff ff ff ff ff fe ff ff ff ff ff ff ff |
fe ff ff ff ff ff ff ff 0f 00 00 00 01 01 00 00 fe ff ff ff ff ff ff ff 12 00 00 00 fe ff ff ff ff ff ff ff fe ff ff ff ff ff ff ff
|
01 0f 00 00 00 01 01 00 00 01 13 00 00 00 01 01 |
一个在序号后有44个字节,一个48个字节,具体处理可以先跳过44个字节看是否ff,如果是跳到48个字节
32位情况类似,只是将feMagic变为01,所以也有两种情况16或20个字节
Keyvalue对
对灰色头部以下内容除直接跟的用户名外,全部以keyvalue形式存在。
Key和value间存在固定4字节未知字段,keyvalue对之间存在8字节未知字段。
Key和value均以长度开头,长度fe表示变长,fe后续一个字节的长度byte并以00结尾如sessionid的值。
下面以上面的包为例进行解析:
用户名:scott |
0863232373636f7474 |
4字节未知字段 |
24000000 |
AUTH_SESSKEY |
0c415554485f534553534b4559 |
4字节未知字段 |
20010000 |
value |
fe403346334137413241324636443935363537434643383241304439314141383033354334334532413932313746424334384437313935343137323638374442414120423145303544373245443630413239333636454331334131444232423941303500 |
8字节未知字段 |
100000027000000 |
AUTH_PASSWORD |
0d415554485f50415353574f5244 |
4字节未知字段 |
c0000000 |
value |
4042353343343732314336334342323537334244423535383936364541364630363844353834423034364134313945373146463430444444363537464343343742 |
... |
... |
... |
... |
... |
... |
8字节未知字段 |
0000000030000000 |
AUTH_FAILOVER_ID |
10415554485f4641494c4f5645525f4944 |
8字节未知字段 |
0000000000000000 |
包示例
代码示例
获取用户名
获取Oracle版本号
在连接完成之后,客户端会发起data 116b包,内部后续一个data DB Version(033b)请求,ThinClient 下会直接发起data 033b,请求oracle版本,版本号以data 08包形式返回,解析其返回包可以获得Oracle版本号。注意返回的data 08 包不止在这里使用,很多命令的返回都使用此包,此种包有这样几种形式,
08后直接后续字段:如版本号包
08后后续返回字段数,再接续字段:比如认证结果返回
获取版本包格式如下
|
32bit |
64bit |
|
unused |
2 |
2 |
ThinDriver 此处为1 |
Banner Length |
1 |
1 |
版本字符串长度 |
Banner |
上字节决定 |
上字节决定 |
Oracle版本字符串 |
版本号 |
4 |
4 |
版本int表示,little endian,minor版本号和build号分别用第二个字节的高低4bit表示 |
变长结尾 | 变长 | 变长 | 可能是1702包也可能是0901包,内容不详 |
包示例