具體操作過程如下：
SQL*Plus: Release 9.2.0.5.0 - Production on 星期日 11月 21 13:32:34 2004
Copyright (c) 1982, 2002, Oracle Corporation. All rights reserved.
SQL> connect sys/oracle as sysdba
已連接。
SQL> select username,password from dba_users;
USERNAME PASSWORD
------------------------------ ------------------------------
SYS 8A8F025737A9097A
SYSTEM 2D594E86F93B17A1
DBSNMP E066D214D5421CCC
TOAD A1BA01CF0DD82695
OUTLN 4A3BA55E08595C81
WMSYS 7C9BA362F8314299
已選擇6行。
SQL> connect system/oracle
已連接。
SQL> connect sys/oracle as sysdba
已連接。
修改用戶system密碼為manager
SQL> alter user system identified by manager;
用戶已更改。
SQL> select username,password from dba_users;
USERNAME PASSWORD
------------------------------ ------------------------------
SYS 8A8F025737A9097A
SYSTEM D4DF7931AB130E37
DBSNMP E066D214D5421CCC
TOAD A1BA01CF0DD82695
OUTLN 4A3BA55E08595C81
WMSYS 7C9BA362F8314299
已選擇6行。
SQL> connect system/manager
已連接。
然后此時可以做想要做的任何操作了
SQL> connect sys/oracle as sysdba
已連接。
修改用戶system密碼為以前的值
SQL> alter user system identified by values '2D594E86F93B17A1';
用戶已更改。
SQL> connect system/oracle
已連接。
SQL> connect sys/oracle as sysdba
已連接。
SQL> connect system/manager
ERROR:
ORA-01017: invalid username/password; logon denied
警告: 您不再連接到 ORACLE。
=================================================================
一個生成Oracle用戶密碼的通用小程序
做為Unix 系統(tǒng)管理員，Oracle 數(shù)據(jù)庫管理員，Oracle ERP 應(yīng)用系統(tǒng)管理員，需要不定期地更改各系統(tǒng)中重要用戶的密碼，以保證系統(tǒng)及數(shù)據(jù)的安全。
但是，由于所管理的小型機(jī)及數(shù)據(jù)庫、應(yīng)用系統(tǒng)較多，每月更改近百個用戶的密碼，不論是密碼的生成，還是密碼的更改，工作量均很大，尤其是密碼的生成，為了加強(qiáng)安全性，密碼不能太簡單，最好為字母與數(shù)字的隨機(jī)組合。但大量的密碼，若不借助自動生成，則其編排是Oracle ERP 系統(tǒng)中應(yīng)用系統(tǒng)用戶（指各子系統(tǒng)的用戶，非指具體應(yīng)用用戶）同時也是Oracle 數(shù)據(jù)庫用戶（如應(yīng)收模塊，用戶為 AR，AR既是數(shù)據(jù)庫用戶，又是應(yīng)用用戶），而且，只有 applsyspub（登錄系統(tǒng)的公用用戶），applsys（應(yīng)用基礎(chǔ)用戶）,apps(具體應(yīng)用操作用戶）為必須為應(yīng)用系統(tǒng)中密碼與數(shù)據(jù)庫密碼一致外，其它應(yīng)用的數(shù)據(jù)庫用戶密碼可以與應(yīng)用系統(tǒng)中密碼中不一致，只需在對應(yīng)用系統(tǒng)進(jìn)行打 patch 工作時才需將其改為一致。因而，可在打 patch 前，在應(yīng)用系統(tǒng)中將應(yīng)用系統(tǒng)用戶密碼修改為與數(shù)據(jù)庫一致即可，平時不用修改其密碼，這樣一則減少了工作量，二則加強(qiáng)了系統(tǒng)的安全性。
更改數(shù)據(jù)庫用戶密碼可通過在 sqlplus 執(zhí)行 alter user identified by 密碼 的命令而實(shí)現(xiàn)，因而，可以通過自動生成密碼腳本的方式，高效地完成密碼的更改工作。而 Unix 用密碼則由于需由管理員負(fù)責(zé)更改密碼的并不多，故可在自動生成后，手工進(jìn)行修改。
為了生成較為復(fù)雜的密碼，同時提高工作效率，我用 Excel 自帶的 VBA 編寫了一個小腳本，運(yùn)行該程序，則自動生成一個更改用戶密碼的腳本，同時，將用戶密碼記錄在工作表上，以便于打印出來，保存在密碼本中，做為記錄。 首先，需在工作表中第一列輸入各個要修改密碼的數(shù)據(jù)庫用戶的用戶名，在第三列輸入各然后，運(yùn)行腳本 gen_pass_oracle ，則自動生成Oracle 用戶的相應(yīng)的密碼；運(yùn)行腳本 gen_pass_unix ，則自動生成unix 操作系統(tǒng)用戶的相應(yīng)的密碼。生成的Oracle 數(shù)據(jù)庫用戶密碼保存在 change_pass.sql 中，可在 sqlplus 中調(diào)用該腳生成的Unix 用戶密碼保存在 change_pass.txt 中，需手工逐個地更改密碼。
可通過在程序首部修改 pass_length 的值的方法，確定生成的密碼的長度；可通過在程序首部修改 start_asc 的方法，確定密碼的組成 0-9,A-Z還是僅 A-Z 其主要實(shí)現(xiàn)為：通過檢查工作表中每一行第1列（或第3列）是否為空，判斷是否結(jié)束密碼生成工作。若非空，即有用戶名，則進(jìn)行循環(huán)，生成在程序頭部定義的指定長度的密碼串。密碼串中的字符為通過起始字符的 ascii 值加上隨機(jī)數(shù)產(chǎn)生的隨機(jī)值得到的新的 ascii 值，再將其轉(zhuǎn)換為字符型，并加入密碼串中。當(dāng)密碼串的長度達(dá)到指定長度時，將其組合為一個 sql 語句寫入文件中，同時，在該行的第2列（或第4列）中寫入該密碼串。 同時，考慮到在 Excel 中會將“=”開頭的字符串當(dāng)作公式對待，故，在生成密碼串時，將等于"="的ascii 值過濾。用類似方法，可使生成的密碼串中不包含其它不想包含的字符。
通過使用這種方式，生成并修改密碼的工作量得到大大減少，安全性得到提高。
實(shí)際上，這種方法產(chǎn)生的密碼不限于 unix 與 Oracle, 可用于各種操作系統(tǒng)中重要用戶
Sub gen_pass_app()
Dim bit_count as integer ’循環(huán)變量, 密碼中位數(shù)計數(shù)器
dim row_num as integer ’需生成密碼的用戶名信息開始的行號
dim rnd_base As Integer ’隨機(jī)數(shù)種子
Dim char_value As Integer ’密碼中每個字符的 ascii 值
Dim temp_str As String ’密碼串
Dim username(50) As String ’用戶名
dim pass_length as integer ’定義生成的密碼的長度
dim start_asc as integer ’ 定義從哪個字符開始生成
pass_length = 8 ’ 設(shè)定密碼長度為 8 位
Rem start_asc = 48 ’ 設(shè)定密碼從 0 開始
start_asc = 65 ’ 設(shè)定密碼從 A 開始
rem 由于 Oracle 數(shù)據(jù)庫用戶密碼不區(qū)分大小寫，故，視所選擇的起始字母，決定隨機(jī)數(shù)
rnd_base = 90 - start_asc
rem 打開文件，用于輸出生成的改密碼的腳本
Open "c:change_pass.sql" For Output As #1
rem 同時，在工作表上記錄相應(yīng)的密碼，以便打印出來備作為記錄，此處為先寫標(biāo)題
Cells(1, 1) = "Username": Cells(1, 2) = "Password"
Cells(1, 3) = "Username": Cells(1, 4) = "Password"
rem 先生成 apps 的密碼，但腳本中加上注釋，因 apps密碼必須與應(yīng)用程序一起改
rem 先初始化密碼串為空白
temp_str = ""
For bit_count = 1 To pass_length
char_value = start_asc + Int(Rnd(1) * rnd_base)
rem 此處為為防=號引起 excel 誤認(rèn)為是公式，從而程序出錯。
If char_value = 61 Then
char_value = 62
End If
rem 組合成密碼
temp_str = temp_str + Chr$(char_value)
Next bit_count
rem 將生成的 apps 密碼輸出到腳本文件
Print #1, "REM alter user apps" + " identified by " + temp_str + ";"
rem 同時，記錄在工作表上
Cells(2, 3) = "APPS": Cells(2, 4) = temp_str
rem 需生成密碼的用戶名從 row_num 行開始
row_num = 2
rem 若第一列非空，則創(chuàng)建密碼，否則退出 Do While Cells(row_num, 1) <> ""
temp_str = ""
For bit_count = 1 To pass_length
char_value = start_asc + Int(Rnd(1) * rnd_base)
If char_value = 61 Then
char_value = 62
End If
temp_str = temp_str + Chr$(char_value)
Next bit_count
Print #1, "alter user " + Cells(row_num, 1) + " identified by " + temp_str +
Cells(row_num, 2) = temp_str
rem 獲取下一行
row_num = row_num + 1
Loop
rem 所有用戶的密碼已生成，關(guān)閉文件
Close #1
End Sub
Sub gen_pass_unix()
Dim bit_count as integer ’循環(huán)變量, 密碼中位數(shù)計數(shù)器
dim row_num as integer ’需生成密碼的用戶名信息開始的行號
dim rnd_base As Integer ’隨機(jī)數(shù)種子
Dim char_value As Integer ’密碼中每個字符的 ascii 值
Dim temp_str As String ’密碼串
Dim username(50) As String ’用戶名
dim pass_length as integer ’定義生成的密碼的長度
dim start_asc as integer ’ 定義從哪個字符開始生成
pass_length = 8
start_asc = 48 ’ 0
Rem start_asc = 65 ’ A
rem 由于 unix 密碼支持大小寫，故，視所選擇的起始字母，決定隨機(jī)數(shù)的范圍，以確保
rnd_base = 122 - start_asc
rem 打開文件，用于輸出生成的改密碼的腳本
Open "c:change_pass.txt" For Output As #1
rem 同時，在工作表上記錄相應(yīng)的密碼，以便打印出來備作為記錄，此處為先寫標(biāo)題
Cells(1, 3) = "Username": Cells(1, 4) = "Password"
row_num = 2
rem 若第三列非空，則創(chuàng)建密碼，否則退出 Do While Cells(row_num, 3) <> ""
temp_str = ""
For bit_count = 1 To pass_length
char_value = start_asc + Int(Rnd(1) * rnd_base)
rem 91-94 為 [ ] ^ _ `
rem 因不愿在unix 密碼串中包含該類字符，故，通過減少已增大的計數(shù)器以保證密碼的長度，同時，不將其計入密碼串中，以排除它們
If (char_value >= 58 And char_value <= 64) Or (char_value >= 91 And char_value <= 96) Then
bit_count = bit_count - 1
Else
temp_str = temp_str + Chr$(char_value)
End If
Next bit_count
Print #1, "user " + Cells(row_num, 1) + " : " + temp_str
Cells(row_num, 4) = temp_str
rem 獲取下一行
row_num = row_num + 1
Loop
rem 所有用戶的密碼已生成，關(guān)閉文件
Close #1
End Sub
=============================================================
Oracle的口令管理
編者按: 驗(yàn)證口令,獲得訪問授權(quán),這是目前最常用的訪問控制手段,Oracle數(shù)據(jù)庫也采用這樣的安全策略。在這一策略中，口令的管理是關(guān)鍵,然而要做好這項(xiàng)工作，既保證數(shù)據(jù)的安全也保證用戶使用方便卻并非易事。
在Oracle數(shù)據(jù)庫中，若要訪問數(shù)據(jù)，必須先具有該數(shù)據(jù)庫的一個賬戶。這個訪問可以是直接訪問（通過一個數(shù)據(jù)庫的用戶連接）或間接訪問（通過在數(shù)據(jù)庫鏈接中預(yù)設(shè)權(quán)限的訪問）。每個賬戶必須有一個與其相關(guān)的口令，一個數(shù)據(jù)庫賬戶可以連接到一個操作系統(tǒng)賬戶上。
口令是在創(chuàng)建用戶賬戶時為每一用戶設(shè)置的，并可在該賬戶創(chuàng)建后對它們進(jìn)行變更。用戶變更賬戶口令的能力受他訪問工具權(quán)限的限制。數(shù)據(jù)庫以加密的形式將口令存儲在一個數(shù)據(jù)字典表中。如果賬戶直接與操作系統(tǒng)賬戶相關(guān)，就可以旁路口令檢查。在Oracle 8i中，口令可以無效。數(shù)據(jù)庫管理員可以建立能重復(fù)使用口令的條件(通過一個數(shù)據(jù)庫口令歷史設(shè)置值)，也可以使用環(huán)境文件為口令制定標(biāo)準(zhǔn)，如最小長度，或如果連續(xù)多次與賬戶連接不成功，就可以自動鎖定賬戶。
環(huán)境文件
可以使用環(huán)境文件來限制用戶能使用的系統(tǒng)和數(shù)據(jù)庫資源，并管理口令限制。如果數(shù)據(jù)庫中沒有創(chuàng)建環(huán)境文件，將使用缺省環(huán)境文件（Default）。缺省環(huán)境文件對于所有用戶資源沒有限制，表1列出了可以通過環(huán)境文件限制的資源。
(注: PASSWORD_REUSE_MAX和PASSWORD_REUSE_TIME互不相容，如果其中一個資源設(shè)置成一個值，另一個必須設(shè)置成Unlimited。)
如表1所示，許多資源都可以被限制，在用戶超過資源限制前不會發(fā)生任何動作，一旦到達(dá)限值， SQL語句就被停止。
環(huán)境文件是通過“create profile”命令創(chuàng)建的，可以用“alter profile”命令修改。下例所示的“alter profile”命令用于修改現(xiàn)有的環(huán)境文件。在這個例子中，數(shù)據(jù)庫的缺省環(huán)境文件被修改成允許最大空閑時間為1小時：
alter profile DEFAULT limit idle_time 60;
在Oracle 8i中，可以使用環(huán)境文件來管理口令的終止、重新使用和復(fù)雜性。例如，可以限制一個口令的壽命、鎖定口令過舊的賬戶，也可以強(qiáng)制一個口令至少有一定程度的復(fù)雜性，并鎖定一個多次注冊失敗的賬戶。
口令的鎖定與過期
FAILED_LOGIN_ATTEMPTS用于設(shè)定賬戶允許的嘗試次數(shù)，可以防止惡意人員無限制地嘗試賬戶口令來破解口令。例如，如果設(shè)置用戶環(huán)境文件的FAILED_LOGIN_ATTEMPTS資源為3，該賬戶允許連續(xù)注冊失敗3次，第4次失敗就會引起賬戶被鎖定。
在下面的例子中，創(chuàng)建一個供用戶TestUser使用的TEST_PROFILE環(huán)境文件：
create profile TEST_PROFILE limit
FAILED_LOGIN_ATTEMPTS 3;
create user TESTUSER identified by abcd1234
profile TEST_PROFILE;
grant CREATE SESSION to TESTUSER;
如果連續(xù)3次與TestUser賬戶的連接失敗，該賬戶將自動被Oracle鎖定。此后當(dāng)輸入TestUser賬戶的正確口令時，會收到一條錯誤信息：
ERROR:ORA-28000: the account is locked
要對賬戶解鎖，可在數(shù)據(jù)庫管理員賬戶中使用“alter user”命令的account unlock子句，如下所示：
alter user TESTUSER account unlock;
賬戶解鎖后，TestUser賬戶再一次被允許連接?？梢酝ㄟ^“alter user”命令的account lock子句來手動鎖定一個賬戶。
alter user TESTUSER account lock;
若一個賬戶由于多次連接失敗而被鎖定，當(dāng)超過其環(huán)境文件的PASSWORD_LOCK_TIME值時將自動解鎖。例如，如果PASSWORD_LOCK_TIME設(shè)為1，前面例子中的TestUser賬戶就被鎖定1天，過后賬戶即被自動解鎖。
可以通過環(huán)境文件中的PASSWORD_LIFE_TIME資源建立一個口令的最大期限。例如，可以強(qiáng)制TEST_PROFILE環(huán)境文件的用戶每30天改變一次口令。
alter profile TEST_PROFILE limit
PASSWORD_LIFE_TIME 30;
在這個例子中，“alter profile”命令用于修改TEST_PROFILE環(huán)境文件。PASSWORD_LIFE_TIME值設(shè)為30，因此使用這個環(huán)境文件的每個賬戶在30天后口令就會過期。如果口令過期，就必須在下次注冊時修改它，除非環(huán)境文件對過期的口令有一特定的寬限期。寬限期參數(shù)叫做PASSWORD_GRACE_TIME，如果在寬限期內(nèi)沒有修改口令，賬戶就會過期。
(注: 如果使用PASSWORD_LIFE_TIME參數(shù)，就必須為用戶提供一種便于其改變口令的方法。)
“過期”賬戶與“鎖定”賬戶不同。鎖定賬戶會隨著時間的推移自動解鎖，而過期賬戶需要通過數(shù)據(jù)庫管理員人工干預(yù)才能重新激活。
?。ㄗⅲ喝绻褂每诹钸^期特性，就要確保擁有應(yīng)用程序的賬戶具有不同的環(huán)境文件設(shè)置值，否則它們會被鎖定，使得應(yīng)用程序不能使用。）
如前面例子所述，若要重新恢復(fù)一個過期賬戶，需使用“alter user”命令。在這個例子中，用戶TestUser首先由數(shù)據(jù)庫管理員手工使其口令過期。
alter user TESTUSER password expire;
接著，TestUser試圖連接其賬戶。當(dāng)他輸入口令時，立即被提示輸入賬戶的新口令。
也可以使用“create user”命令的“password expire”子句，強(qiáng)制用戶在第一次訪問時修改口令。不過“create user”命令不允許對用戶設(shè)置的新口令設(shè)置限期日期。要設(shè)置的話，必須使用前面例子中的PASSWORD_LIFE_TIME環(huán)境文件參數(shù)。
若要查看任一賬戶的口令限期，可查詢DBA_USERS數(shù)據(jù)字典視圖的Expire_Date列。若用戶自己想查看，可查詢USER_USERS數(shù)據(jù)字典視圖的Expiry_Date列(通過SQL*Plus或一個基于客戶機(jī)的查詢工具)。
防止口令重新使用
若要防止一個口令被重新使用，可以使用兩個環(huán)境文件參數(shù)的其中一個: PASSWORD_REUSE_MAX或PASSWORD_REUSE_TIME。這兩個參數(shù)互不相容，如果給其中的一個設(shè)置了值，另一個就必須設(shè)為Unlimited。
PASSWORD_REUSE_TIME參數(shù)規(guī)定一個口令可以重新使用前必須經(jīng)過的天數(shù)。例如，如果設(shè)置PASSWORD_REUSE_TIME為60天，則在60天內(nèi)不能使用同一個口令。
PASSWORD_REUSE_MAX參數(shù)指定一個口令可以重新使用前必須對其改變的次數(shù)。如果試圖在這個限制到達(dá)前重新使用該口令，Oracle會拒絕口令的修改。
例如，可以為本章前面創(chuàng)建的TEST_PROFILE環(huán)境文件設(shè)置一個PASSWORD_REUSE_MAX參數(shù)。
alter profile TEST_PROFILE limit
PASSWORD_REUSE_MAX 3
PASSWORD_REUSE_TIME UNLIMITED;
如果用戶TestUser現(xiàn)在試圖重新使用一個最近的口令，修改口令就會失敗。例如，如下修改口令：
alter user TESTUSER identified by eye123;
然后再次改變它：
alter user TESTUSER identified by eye456;
在下次修改口令時，試圖重新使用最近的口令，就會失敗。他不能重新使用任何他最近用過口令，必須提供一個新口令。
口令歷史被存儲在SYS模式下一個叫USER_HISTORY$的表中。在這個表中，Oracle存儲了用戶資源識別符、加密的口令值和創(chuàng)建該口令的日期/時間標(biāo)記。當(dāng)PASSWORD_REUSE_TIME值已過期或口令修改次數(shù)超過PASSWORD_REUSE_MAX值時，這個老的口令記錄就從SYS.USER_HISTORY$表中刪除。如果一個新的密碼與現(xiàn)有的密碼一樣，這個新口令就被拒絕。
由于老口令存儲在SYS擁有的一個表中，所以數(shù)據(jù)存儲在System表空間中。因此，如果要為頻繁修改口令的大量用戶保留非常大的口令歷史，口令歷史表SYS.HISTORY$所需的空間就會影響System表空間的空間需求。
設(shè)置口令復(fù)雜度
可以強(qiáng)制用戶的口令符合復(fù)雜度標(biāo)準(zhǔn)。例如，可以要求口令的最小長度，限制不能是一些簡單的詞，至少包括一個數(shù)字或標(biāo)點(diǎn)符號等。“create profile”和“alter profile”命令的PASSWORD_VERIFY_FUNCTION參數(shù)指定用于評估口令的函數(shù)名。如果用戶提出的口令不符合要求，就不會被接受。例如，可以拒絕“abcde”和“eye”作為口令，因?yàn)樗鼈兾窗魏螖?shù)字值。為簡化實(shí)施口令復(fù)雜度的過程，Oracle提供了一個函數(shù)VERIFY_FUNCTION。在缺省情況下，不創(chuàng)建這個函數(shù)。只有在運(yùn)行utlpwdmg.sql腳本文件(該文件位于Oracle軟件主目錄下的/rdbms/admin子目錄中)時才創(chuàng)建VERIFY_FUNCTION函數(shù)（注意這個函數(shù)應(yīng)當(dāng)在SYS模式下創(chuàng)建）。
函數(shù)中的前三個條件子句檢查口令是否與用戶名相同，是否少于4個字符，是否是一組特定的詞之一?？梢匀我庑薷倪@些檢查或增加你的要求。例如，安全原則可能要求口令最少有六個字符，運(yùn)行前要簡單地更新部分utlpwdmg.sql文件。
函數(shù)的下一個主要部分是對口令字符串內(nèi)容的三段檢查。要通過這些檢查，口令中至少要包含一個字符、一個數(shù)字和一個標(biāo)點(diǎn)符號。同前面的檢查一樣，它們是可以編輯的。例如，可以不要求用戶在其口令中使用標(biāo)點(diǎn)符號，只要簡單地繞過那部分口令檢查就可以。
函數(shù)的下一部分是將新口令與老口令逐字符進(jìn)行比較。如果它們之間的不同之處少于三處，新口令將不予接受。
這個腳本文件中最后一條命令不屬于該函數(shù)，它是一條改變?nèi)笔…h(huán)境文件的“alter profile”命令。如果改變了缺省環(huán)境文件，那么數(shù)據(jù)庫中所有使用缺省環(huán)境文件的用戶都會受到影響。
要注意的是，VERIFY_FUNCTION函數(shù)并不進(jìn)行任何數(shù)據(jù)庫訪問，也不更新任何數(shù)據(jù)庫值。如果修改這個函數(shù)，應(yīng)確保此修改不需要進(jìn)行數(shù)據(jù)庫訪問或修改。
可以修改缺省的環(huán)境文件以便在不修改口令過期參數(shù)的情況下使用VERIFY_FUNCTION函數(shù)。
alter profile DEFAULT limit
PASSWORD_VERIFY_FUNCTION VERIFY_FUNCTION;
如果修改缺省環(huán)境文件，要確保該環(huán)境文件的所有用戶都能成功地使用它。例如，如果SYS和System用戶使用它，能否按這里指定的設(shè)置值來處理其口令呢？這里可能要創(chuàng)建一個新的環(huán)境文件，并將該文件指定給非數(shù)據(jù)庫管理員的用戶和非應(yīng)用程序擁有者的用戶來簡化環(huán)境文件管理。這種方法存在的問題是：要記住給所有新用戶指定新的環(huán)境文件。用戶管理活動越標(biāo)準(zhǔn)化，實(shí)現(xiàn)這種處理越方便。
口令驗(yàn)證函數(shù)的名字不一定是VERIFY_FUNCTION。由于VERIFY_FUNCTION的名字幾乎每個函數(shù)都用到，所以應(yīng)當(dāng)將其改為有意義的一個名字。例如，可以將其改為VERIFY_Oracle_PASSWORD，應(yīng)當(dāng)給它一個描述性的、容易記憶的名字，這樣做可以方便其他數(shù)據(jù)庫管理員對程序所執(zhí)行的函數(shù)的理解。
結(jié)束語
以上講述的是從Oracle口令管理方面來提高數(shù)據(jù)庫的安全性。數(shù)據(jù)庫的安全性還包括許多內(nèi)容，如權(quán)限的分配、角色的管理、數(shù)據(jù)庫的審計等，搞好數(shù)據(jù)庫的安全是一項(xiàng)很復(fù)雜的工作，希望本文能給讀者一定的啟發(fā)，起到拋磚引玉的功效。
