关于绿盟扫描ORACLE漏洞的问题 说几点看法

之前看了这篇文章 “坑爹”的绿盟数据库漏扫，求你专业一点 ,讲几点个人的看法。

因为近期国内勒索病毒问题频发，可以观测到QQ群内大量甲方人员提问关于绿盟扫描的问题。

文章的主旨是说 绿盟的ORACLE 数据库漏洞扫描的结果比较不靠谱，已经装了的补丁，扫描的结果仍是存在漏洞，让甲方的人员很苦恼。

绿盟号称是在企业安全市场占有率最高的公司，拥有自己的产品和服务，涉猎企业IT环境中的几乎所有的服务器、软件的安全问题，这几年由于安全问题越来越被重视，这类安全公司确实也跟着火了。

我曾经2013年在某省移动驻场负责维护几十套Oracle数据库，每季度都会收到绿盟发来的漏洞列表，第一次发来几千项，企信部领导“高度重视”，让我连夜排查并给出解决方案。当时大多数数据库版本是11203，且安装了较新的PSU，我发现漏洞里面居然还存在2009年的CVE高危漏洞，当时就纳闷Oracle自己在2009年公布的漏洞到现在咋还没修复呢？

通过原厂确认，首先Oracle不认可任何第三方软件的漏洞扫描结果，其次绿盟的漏洞扫描机制简单粗暴，基本上没有可信度，后来和甲方DBA达成共识：1、安装最新的PSU，2、通过技术手段屏蔽绿盟的扫描。

没想到现在都2019年了，这个问题依然存在，不知道产品经理是不是去岘港度假被抓了，看看苦逼DBA们被坑害的反馈吧：

首先说说绿盟漏扫的”业余“机制吧，通过数据库版本号直接去匹配Oracle官方的CVE漏洞列表，不会检测PSU。拜托，现在大多数科技公司都在应用AI、机器学习了，您还在通过几个数字匹配表格来定义企业的信息安全分数，真是太“LOW”，哪还有安全可言。

给出了一大堆漏洞，高危的红色，让领导瑟瑟发抖，我想绿盟可能还会觉得自己很牛X吧。然而却没有给出解决方案，最多丢一个Oracle 的CVE链接给你，自己去找补丁，各个补丁之间还可能冲突，对了这里是CPU，-_-||

无力吐槽！

给乙方DBA的建议：

1、不要浪费时间尝试根据不可信的漏洞列表一一去找单个的补丁，直接安装最新的PSU即可（不过最佳实践是次新，另外12.2改为RU）。

2、觉得不好交差，或者强迫症，可以通过防火墙、端口、数据库IP限制等方式限制绿盟机器的访问；

3、把“皮球”抛给现场的绿盟GG，让他们去跟甲方解释，承认这是绿盟漏扫软件的缺陷；

4、使用专业的数据库巡检平台检查数据库，从数据库的角度去排查安全问题。

给绿盟的建议：

1、希望绿盟专业一点，牢记“专功术业”的愿景，真正做到“成就所托”，不要学早期的360通过报大量高危漏洞吓唬用户来体现自身卑微的价值；

2、学习了解Oracle的补丁策略，弄清楚One of Patch、CPU、PSU、RU的区别以及大版本小版本的关系，分别修复了哪些CVE漏洞，如果真的存在漏洞，那么给出专家的方案，不要给个CVE链接草草了事，我相信这些需求相对来说比较容易，如果需要我们可以免费支持；

3、多听听业界的声音和用户的反馈，快速迭代改进产品，不然没有核心竞争力，分分钟被替代被超越。

最后还是诚恳的呼吁绿盟团队，尽快把自己产品的缺陷修复，完善各项功能，真正为国内企业信息安全建设贡献更多的力量，“专功术业，成就所托”。

结论是让绿盟在扫描上专业一点，改进产品。

评论里又绿盟的相关人员驳斥了文章观点，认为绿盟扫描结果不准确是因为 没有做登陆扫描。

@楼主，看你的描述，13年就接触数据库漏洞处理并接触了漏洞扫描器，不过看起来这么多年你也没有潜心研究漏洞扫描器原理、没有思考为啥这么多年误报问题一直无法解决、也没有尝试去找厂家研究扫描功能、也没有思考国内安全厂商的技术瓶颈与困境，给出可供参考的意见和建议，通篇只有闹骚满腹，无尽抱怨，看来你这么多年也没有进步，也没有看到别人的进步，希望你还是摆正心态，踏实做事。

完全站在dba的角度去考虑安全，实话说挺无知的
1.先搞清楚基于网络的漏洞扫描原理，存活判别，应用识别，发包探测和回应到底能获取目标对象多少信息？
2.登录扫描原理，登录目标对象后到底能获取多少信息，是否会执行命令？什么情况下执行poc
3.想问问lz，哪个大厂的漏扫可以精准判断oracle漏洞？如果都不行，自己有思考过原因何在吗？光在这里瞎bb

楼主难道不知道登录扫描么？给建议，据说绿盟登录扫描很早就实现了，楼主没用过么？怪不得不知道，发文章

首先，远程扫描返回的banner不带patch，其次，还有登陆扫描的功能。
但，更多的情况是甲方不愿意把数据库的登陆方式交给除了数据库厂家外的其他乙方。吃得咸鱼抵得渴，不提供密码，扫描结果不准确那就自己受着。所以，涉密的东西还是甲方或者相关厂家自己做吧，别什么都赖给别人，自己不作为还怪别人呢。

太可怕了，lz 6年还没搞懂什么是登录扫描

上面陈述了一些问题，这里讲讲我的看法，一家之言

1. 没有做登陆扫描，主要原因一般是甲方人员并不放心把账户密码给来做扫描的技术人员；以人之常情而论，我相信90%的甲方同学并不愿意做登陆扫描
2. 因为 第一点的这个情况，导致绿盟的扫描结果，大多数情况下不准确和无价值
3. 打一个不恰当的比方，用户去医院看病，医生让验血/拍片，但用户都不愿意验血/拍片；因为不愿意验血/拍片，所以医生几乎没有可参考的信息
4. 在这种情况下，医生罗列了所有病人可能患的病症，列可能性嘛，多列一些总不会错
5. 用户面对医生罗列的一大堆病症可能性，无所适从

这里划分一下责任:

1. 这里可以看到，甲方的责任在于虽然有配合扫描漏洞的义务，但并不乐意真的提供账号密码来做登陆扫描。
2. 绿盟方面可能没有强调登陆扫描的重要性， 实际上 不做登陆扫描的话 ， 报告可以认为是没意义的，但这件事也就不用做了
3. 绿盟方面因为要在没有可能获得完整信息的情况下，给出报告。强行罗列了其可以确定的可能性，这导致维护方最后要么不处理，要么很吃瘪

最后说几点建议:

1. 如果甲方同意做漏洞扫描，就该开放账户密码给绿盟。绿盟在做扫描前应该确认这一点，如果甲方不愿意提供，那么强行去做这些事，可以说是走过场的形式主义
2. 国内大部分非外企或上市企业使用的要么是盗版ORACLE，要么从来不购买ORACLE标准服务；这种情况下做漏洞扫描，即便出了准确结果，甲方也并没有合法途径去获得相关的安全性补丁，从网上的非官方渠道下载一些补丁，岂不是更不安全？ 所以对于使用盗版ORACLE或者从不购买ORACLE标准服务的甲方，从法理上不建议去做这些漏洞扫描。这类甲方应当适当提高内网安全系数，避免ORACLE有暴露在外的可能性
3. ORACLE每季度都会出新的PSU/SPU(以前叫CPU 即安全补丁)，虽然重要度可能并不均匀（例如一年中只有一个季度发布了适应面很广，影响很大的漏洞）；但可以说永远可能会发现新的安全漏洞；如果是顶级的企业，无所谓人力成本，当然可能每年升级个几次，但一般来说是不可能的，成本不可控
4. 就Maclean的经验来看，中国和美国的顶级银行或企业都并不会如第三条这样做，打SPU的情况都是少数，除非特别需要
5. 目前阶段，国内的主要安全趋势还是做好内网安全，能把弱密码和低版本的Windows/Linux全干掉，把无密码的MongoDB/Redis干掉，已经功德无量了
6. 如果还有同学被绿盟的问题难住，可以耐心看下网上的许多评论，耐心和领导说明；毕竟我们纯技术人员，能做的事，或者说能做到的事并不多啊！