主页 / dba / 问题 / 68436
Accepted
Andrew
Asked: 2014-06-18 11:46:31 +0800 CST

绕过密码验证功能

  • 772

我正在考虑建议强制执行密码验证功能，该功能不允许用户更改自己的密码。我对 Oracle 中 PASSWORD_VERIFY_FUNCTION 的理解是，该函数仅在用户更改自己的密码时才限制密码条件。它不会限制特权用户更改其他人的密码或第三方 IAM 软件更改密码，但我找不到明确记录。我对么？

oracle password

3 个回答

  1. Best Answer

    PASSWORD_VERIFY_FUNCTION 被使用，即使特权用户更改了另一个用户的密码，见下文。

    SQL> @?/rdbms/admin/utlpwdmg.sql
SQL> create user u1 identified by Oracle123#;

User created.

SQL> select profile from dba_users where username = 'U1';

PROFILE
------------------------------
DEFAULT

SQL> select limit from dba_profiles where profile = 'DEFAULT' and resource_name = 'PASSWORD_VERIFY_FUNCTION';

LIMIT
----------------------------------------
VERIFY_FUNCTION_11G

SQL> show user
USER is "SYS"

SQL> alter user u1 identified by 1;
alter user u1 identified by 1
*
ERROR at line 1:
ORA-28003: password verification for the specified password failed
ORA-20001: Password length less than 8
    • 3

  2. CREATE用户使用BY VALUES：

    CREATE USER "PEPITO" IDENTIFIED BY VALUES '7D7BA78DE23FF6'
      DEFAULT TABLESPACE "USERS"
      TEMPORARY TABLESPACE "TEMP";

    这将绕过任何密码功能

    • 0

  3. ORA-28003: 指定密码的密码验证失败 ORA-20001: 密码长度小于 16

    如果您收到此类错误，请按照以下说明操作。

    1. 用正确的 16 个字符更改密码，将满足密码策略。
    2. 将配置文件从默认更改为用户定义的配置文件/或创建新的配置文件 alter user profile 。
    3. 现在根据需要更改密码，不需要完全填写密码策略。
    4. 现在将配置文件更改回默认值。
    • -1

相关问题