ORACLE数据库-TNS协议分析详解

ORACLETNS协议分析

1TNS介绍

TNS协议是ORACLE服务端和客户端通讯的协议。TNS协议传输可以使用TCP/IP 协议、使用SSL的TCP/IP协议、命名管道和IPC协议传输，其中TCP/IP协议传输是使用明文传送。这里我们只分析基于TCP/IP协议上的TNS数据。

ORACLE网络通讯协议TNS有许多版本，并且大部分向下兼容，我们主要oracle 9.2.0.1.0客户和服务间的传输协议，他的协议版本号为312，其兼容到300。

TNS协议有一个通用的头，通用头包含一个请求数据类型。不同的服务请求和数据传输使用不同的请求数据类型。对于通常意义的查询操作一般使用数据类型，当出现错误或其他情况时可能使用其他类型。在分析过程中发现以下类型数据：

●查询语句出错会用标记（marker）类型

●客户端向服务器请求失败（如不存在的服务ID），服务器会发送拒绝（refuse）

类型

●客户机登陆会发送连接类型，而服务器返回一个重定向类型数据

●当重定向端口连接完成后客户端重现发送连接类型数据，服务器返回接受类型

数据，然后能够正常通讯。

2TNS数据格式

TNS数据包含一个通用的包头，这个包头包含包校验，包长度和包类型等信息。

不同的类型的数据实现不同功能的数据传输。

Common Packet Header 8 通用包头

Data 可变数据

2.1 通用包头格式

每个TNS完整数据都包含一个通用包头，他说明接受数据的长度及其相关校验和解析的信息。

Length 2 包的长度，包括通用包头

Packet check sum 2 包的校验和

Type 1 TNS类型

Flag 1 状态

Header check sum 2 通用头的校验和

注：

Length：包长度（包括包头）

Type：数据包的类型

类型号类型说明

1 连接（CONNECT）

2 接受（ACCEPT）

3 确认（ACK）

4 拒绝（REFUTE）

5 重定向（REDIRECT）

6 数据（DATA）

7 NULL

8

9 中止（ABORT）

10

11 重新发送（RESEND）

12 标记（MARKER）

13 ATTENTION

14 控制（CONTROL）

2.2 连接包结构(0x01)

在客户端和ORACLE要建立连接时，客户端首先发送一个连接结构，然后服务器返回重定向包（参见2.5）。

typedef struct TNS_CONNECT_header{

UCHAR NS_ver[2];

UCHAR Compatible_ver[2];

UCHAR ser_opt1;

UCHAR ser_opt2;

UCHAR SDU_size[2];

UCHAR TDU_size[2];

UCHAR NT_protocol_ch1;

UCHAR NT_protocol_ch2;

UCHAR Max_packets[2];

UCHAR Hardware_1[2];

UCHAR data_length[2];

UCHAR Offset[2];

UCHAR Max_data[4];

UCHAR flag0;

UCHAR flag1;

/*java thin interface has no items and id,

if it is not jdbc thin, use offset to override these 有些版本TNS协议中没有下面几项*/

UCHAR item1[4];

UCHAR item2[4];

UCHAR ID[8];

UCHAR unknown[8];

/*followed by decode_des_conn_data */

//连接字符串

}TNS_CONNECT_HEADER;

连接字符串格式：

如：

数据库一般的连接，即ESTABLISH的连接字符串为：

(DESCRIPTION=

(ADDRESS=

(PROTOCOL=TCP)

(HOST=topsec-syangjp)

(PORT=1521)

)

(CONNECT_DATA=

(SID=test)

(SERVER=DEDICATED)

(CID=

(PROGRAM=D:\oracle\ora92\bin\sqlplusw.exe)

(HOST=TOPSEC-MYANGJP)

(USER=myangjp)

)

)

)

2.3 接受包结构(0x02)

用户重定向之后，需要用重定向端口向服务器发送连接，客户端发送连接包，服务器连接成功则返回接受包，否则返回refuse包

struct TNS_ACCEPT_header{

unsigned char NS_ver[2];

unsigned char ser_opt1;

unsigned char ser_opt2;

unsigned char SDU_size[2];

unsigned char TDU_size[2];

unsigned char Hardware_1[2];

unsigned char data_length[2];

unsigned char Offset[2];

unsigned char flag0;

unsigned char flag1;

//unsigned char unknown[8];

/*no following data*/

};

2.4 拒绝包结构(0x04)

typedef struct TNS_REFUSE_header{ UCHAR uUserRefuseReason;

UCHAR uSysRefuseReason;

unsigned short int data_length;

//拒绝字符串

}TNS_REFUSE_HEADER;

拒绝字符串：

2.5 重定向包结构(0x05)

typedef struct TNS_REDIRECT_header{ UCHAR data_length[2];

UCHAR data; //长度为data_length;

//重定向数据

}TNS_REDIRECT_HEADER;

重定向数据：

2.6 标记包结构(0x0c)

typedef struct TNS_MARKER_header{

UCHAR data_length[3];

}TNS_REDIRECT_HEADER;

注：

当请求命令出错时，服务器会返回三个标记包

2.7 控制包结构(0x0d)

暂时没有发现该结构

2.8 数据包结构(0x06)

数据包负责传输数据库客户端和服务端的各种操作。每个操作由一个或几个命令组成，可以是在同一个数据包中有几个命令结构组合起来，也可以分开传输一些命令。

Common Header 8 通用包头

Data flag 2 状态

Command packet 可变数据

Command packet 可变数据

………

Command packet 可变数据

具体各种操作命令的组成和转换现在还不能完全确定，但是对于一些基本的SQL查询我们是可以分析的，下面我们主要分析一些命令结构和相关ORACLE操作的命令组成序列。

有些有许多结构和它的具体字节不影响ORACLE基本命令的分析，所以只做了简单的分析，对于SQL的一般查询语句TNS协议主要通过数据包的0x0303和0x035e命令来传输数据，返回结果主要是通过0x06和0x08命令传输数据，0x06主要传输数据，0x08主要传输系统配置相关数据。

2.8.1数据包通用结构

数据包有一个2字节的状态包和多个命令包组成：

Data flag 2 状态

Command packet 可变命令包

………

Command packet 可变命令包

注：

Data_flag一般情况为零，分析发现退出时为0x0040

Send token 0x0001

Request Confirmation 0x0002

Confirmation 0x0004

Reserved 0x0008

UNKNOWN 0x0010

More Data to Come 0x0020

End of File 0x0040

Do Immediate Confirmation 0x0080

Request to send 0x0100

Request Nt Trailer 0x0200

命令包（Command packet）结构如下：

Command 1 命令

Sub command 1 子命令

Data 可变命令包数据

注：

命令（Command）说明（以下命令为主命令的基本功能，但是还不能完全确认）：0x01 Set Protocol

0x02 Set Data Type Representation

0x03 User to Oracle Request

0x04 Return Status

0x05 Access User Address Space

0x06 Raw Transfer Header

0x07 Raw Transfer Data

0x08 Return OPI(Oracle Program Interface) Parameter

0x09 Oracle Function Complete

0x0a N Error Return Definition

0x0b Sending I/o Vector only for fast UPI(User Program Interface)

0x0c Sending Long for Fast UPI

0x0d Invoke User Callback

0x0e Network Service

0x0f Data Intergrity

0x10 Supervisor

0x11

0x12

通过分析具体的包和一些其他相关软件，得到以下相关命令和子命令，许多命令还需要进一步确认

命令子命令类型说明使用

0x01 0x05 请求CLIENT TYPE

0x01 0x06 Set Protocol

0x01 0x2c IDENT

0x02 0x00 RESET

0x02 0x01 CHAR_MAP

0x02 0x54

0x03 0x01

0x03 0x02 SQL_OPEN

0x03 0x03 QUERY

0x03 0x04 QUERY SECOND

0x03 0x05 FETCH MORE

0x03 0x08

0x03 0x09 DISCONNECT

0x03 0x0E

0x03 0x27 SET_LANG

0x03 0x2B DESC_COLS

0x03 0x3B DB VERSION

0x03 0x47 FETCH

0x03 0x51 Set password

0x03 0x52 Set user

0x03 0x54 HANDSHAKE4

0x03 0x5E SQL

0x03 0x73 AUTH2

0x03 0x76 AUTH1

0x03 0x77 查询表结构信息DESC

0x04 0x01 ACK

0x04 0x02 ACK

0x04 0x05 ACK

0x06 0x00 More Row Result Info

0x06 0x01 First Row Result Info

0x08 0x01

0x08 0x05

0x08 0x08

0x08 0x9c Db version

0x10 0x19 Field Info SELEC返回

0x11 0x69

0x11 0x6b

0x11 0x78

2.8.2Data Format（length+data）

对于ORACLE的TNS协议结构中数据传输，其主要采用以下方式，即用一个标志和长度字符来传输数据。具体格式如下

●如果开始的大数据标志为0xfe，则结构如下

Big Data Identify 1

Data Length 1 返回列数

Data Data Length

………

Data Length 1 如果

Data Data Length

Data Length 1 0

●如果开始的大数据标志不为0xfe，则结构如下：

Data Length 1 返回列数

Data Data Length

2.8.2.1 字符串格式

(1)Char（n），nchar

Data 可变实际数据

Data1 可变空格

注：数据和数据1总长度为n

(2)Varchar（n）

Data 可变（<=n）实际数据

2.8.2.2 数字格式

(1)正数

Id 1 C0+整数部分长度整数部分Intlength=Id-c0

小数部分DecLength=length-intlength-1

注：

●数据的第一位标志整数部分长度

●整数部分长度+小数部分长度=数据总长度-1

●整数部分从后向前每两位（代表0到100）用一个字节（十六进制）表示，

且为十六进制值-1

●小数部分从后向前每两位（代表0到100）用一个字节（十六进制）表示，

且为十六进制值-1

●如果没有小数部分，Intlength+1〉length（为数字长度），则后面有

（Intlength+1-length）位（只传输位）值为0的数据没有传输

(2)负数

Id 1 3f-整数部分长度整数部分Intlength=3f-id

小数部分DecLength=length-intlength-1

Magic 1 0x66

●数据的第一位标志整数部分长度

●整数部分长度+小数部分长度=数据总长度-2

●整数部分从后向前每两位（代表0到100）用一个字节（十六进制）表示，

且为101-十六进制值

●小数部分从后向前每两位（代表0到100）用一个字节（十六进制）表示，

且为101-十六进制值

●如果没有小数部分，Intlength+2〉length（为数字长度），则后面有

（Intlength+2-length）位（只传输位）值为0的数据没有传输

2.8.2.3 日期格式

Year1 1 Year1-100

Year2 1 Year2-100

Month 1 Month

Day 1 Day

Hour 1 Hour-1

Minute 1 Minute-1

Second 1 Second-1

注：

●Year1为年前两位，值为year1-100

●Year2为年后两位，值为year2-100

●Month为月，值为month

●Day为月，值为Day

●Hour为月，值为Hour-1

●Minute为月，值为Minute-1

●Second为月，值为Second-1

●

2.8.30x03 0x02 SQL_OPEN

发现当进行0x0303命令查询时

Request id 1

Magic 8

2.8.40x03 0x03 QUERY

该命令也传输一些SQL查询请求，不能确定什么时候使用0x0303命令进行查询，在分析过程中，发现在登陆之后进行一些系统请求用到了该命令。

Request id 1

Magic 12

Data Format 可变查询语句

2.8.50x03 0x04 QUERY SECOND

很少出现这个包，也没具体分析

Request id 1

2.8.60x03 0x05 FETCH MORE

用户查询是通过0x035e命令来请求数据的返回的结果不能一次传输完成，客户端会不断发送该命令向服务器请求数据，直到服务器告诉客户端数据传送完成。

Request id 1

Magic 8

2.8.70x03 0x08 HANDSHAKE7

Request id 1

Magic 4

2.8.80x03 0x09 DISCONNECT

当客户端断开连接时，客户端发送请求到服务器（用0x0309），服务器发送0x0901确认。

Request id 1

2.8.90x03 0x3B DB VERSION

请求ORACLE数据库版本信息，通过0x089c返回结果。

Request id 1

Magic 16

2.8.100x03 0x47 FETCH

Request id 1

2.8.110x03 0x51 Set password

当用户使用GRANT更改密码时，客户先通过0x0352发送用户信息，然后通过0x0351发送密码信息。

Request id 1

Magic1 4

User name length 1 用户名长度

Magic2 99

Username User

name

length

Session key 32

Host info 可变

2.8.120x03 0x52 Set user

当用户使用GRANT更改密码时，客户先通过0x0352发送用户信息，然后通过0x0351发送密码信息。

Request id 1

Magic1 4

User name length 1 用户名长度

Magic2 99

Username User

name

length

Host info 可变

2.8.130x03 0x5E SQL

一般的SQL查询语句是封装在0x035e命令结构中，用该命令请求数据时，服务器

返回数据和确认命令数据。

●如果查询命令错误，则返回错误代码和错误消息。

●如果查询正常，服务器返回执行结果数据和确认命令。

它的结构如下：

Request id 1

Magic1 80 返回列数

Data Format 可变SQL查询语句

Magic3 48 总是为0x07

2.8.140x03 0x73 AUTH2

用户登录过程发送用户密码和用户信息，包括用户名，终端名称，客户端程序，机器，客户端进程号。

2.8.150x03 0x76 AUTH1

用户登录过程发送用户相关信息，包括用户名，会话密钥，终端名称，客户端程序，机器，客户端进程号和对服务器一些设置（语言，时区等）。

2.8.160x03 0x77 desc table

当用户通过DESC TABLE tablename命令查询用户表属性信息时，客户端发送0x0377命令到ORACLE服务器。

Request id 1

Magic1 4 返回列数

Table name length 1 表名长度

Magic2 16

Data Format 可变SQL查询语句

2.8.170x04 0x01 ACK

各种数据库操作会通过0x04命令来返回结果，如是否正常运行，影响行数，影响的表格，操作类型等，如果错误还要返回错误消息，以下0x0402，0x0405均为数据库查询

返回，但是还不知道什么情况适用这三种应答。

数据应答报结构如下：

Magic1 4

Record num 4 记录数，该操作影响记录数

Error num 2 返回错误代码

Magic2 8

Type 1 操作类型（如select，insert，create等）

Magic3 2

Obj Id 2 操作对象ID，如表的对象ID

Magic4 19

Ack id 1 确认号（为该请求号+1）

Magic5 46

Msg length 1 消息长度

Msg Msg

消息

length

2.8.180x04 0x02 ACK

同0x0401

2.8.190x04 0x05 ACK

同0x0401

2.8.200x06 0x00 行结果信息

如果0x06 01命令传送数据未完成则后续数据用0x06 00命令传输，且每行只传输和前一行不同的列。

行结果数据结构信息

Magic1 2

Column Num 2 返回列数

Magic2 23

Column distributing 可变等于[Column Num/8]

Magic3 1 总是为0x07

Row Data 可变

Row Split 可变

Row Data 可变

Row Split 可变

………

Row Data 可变

行数据（Row Data）结构信息

Data Format 可变列数据

Data Format 可变列数据

………

Data Format 可变列数据

注：

●对于第一行列数为Column Num

●非第一行，每行列数和列分布信息根据行分隔结构获取

●

行分隔结构信息

Id 1 总是0x15

Column Num 2 返回列数

Column distributing 可变等于[Column Num/8]

Magic3 1 总是为0x07

注：

●Column distributing 为该行列分布信息，如果第i列不为空，则Column

distributing的第I bit为1

●

2.8.210x06 0x01开始行结果信息

SQL查询语句返回结果主要包括字段信息和数据，其中字段数据用0x1019传输，数据有0x0601和0x0600传输。

对于0x0601命令只返回开始几行数据（一般为一行），第一行显示所有的列,以后每行传输和前一行不同的列，即如果和前一行数据相同，则不传送数据，如果多行的某一列都相同，则只传送最开始一行的该列数据。

Magic1 2

Column Num 2 返回列数

Magic2 23

Column distributing 1 总是为0x00

Magic3 1 总是为0x07

2.8.220x08 0x01

经分析发现验证密钥、查询表的结构、0x033b、0x0302命令返回结果用命令0x0801，不过其格式非常不规则，很难分析。

2.8.230x08 0x05

当用户查询请求时，有时返回结果之后会出现这个命令，具体怎么使用还不是很清楚。

Magic1 23

Value Num 2 返回列数

Data Format 数据

Data Format 数据

………

Data Format 数据

2.8.240x08 0x08

当用户发送密钥成功后服务器返回响应的一些消息，如会话密钥，主机名，程序等。

Magic 1

Data length 4

Data Format 可变数据

Data length 4

Data Format 可变数据

………

Data length 4

Data Format 可变数据

注：

如果data length 为0 则后面数据为

2.8.250x08 0x20 Session Key

当当前用户使用grant命令更改当前用户密码之后，系统需要重新发送用户名（0x0352）和密码（0x0351），并更新会话密钥。

Magic 1

Session key 32 会话密钥

2.8.260x08 0x9c Db version

当用户请求数据库版本信息（0x033b）时通过本命令返回版本信息。

Magic 1

Data Format 可变数据库版本信息

Data Format 可变数据库版本信息

Data Format 可变数据库版本信息

2.8.270x09 0x01

当ORACLE服务器收到用户关闭连接的消息时通过本命令确认关闭操作，然后断开TCP/IP连接。

Magic1 1 总是0

Magic2 2

2.8.280x10 0x19 Field Info

SQL查询语句如果有数据返回（如SELECT语句），则先返回各字段信息，然后在返回数据信息。

字段信息结构：

Magic1 29

Field num 2 字段个数

Magic2 3

Field Info 可变字段信息

Field Info 可变字段信息

………

Field Info 可变字段信息

Magic3 12 07 00 00 00 07 78 6a

05 1a 0f 0b 0c

注：字段信息个数为field num

单个字段信息结构：

Magic1 1

Type 1 字段类型

Magic2 1

Precision 1

Scale 1

Magic3 20

Charsetid 2

Charsetform 2

Spare3 2

Magic4 2

Is null 1

length 1

length 4

Data Format 可变

2.8.290x11 0x69

当用户查询数据时，即使用0x035e命令时通常会先发送0x1178和0x1169命令。

Request id 1

Magic 12

2.8.300x11 0x6b

Request id 1

Magic 12

2.8.31 0x11 0x78

当用户查询数据时，即使用0x035e 命令时通常会先发送0x1178和0x1169命令。

Request id 1 Magic

12

3 典型的使用序列

3.1 数据库登陆

3.2 数据结构内部命令序列

请求

操作 响应 序列 请求包

响应包

说明

Select

无记录 1 0x1169+0x035e 0x1019+0x06010 +x0401

errcode=1403

Select

1条记录

1

0x1169+0x035e

0x1019+0x0601 +0805+0x0401 errcode=0 2

0x3e

0x0600+0x0401 (errcode=1403) Select

多条记录

1

0x1169+0x035e 0x1019+0x0601 +0805+0x0402 errcode=0 2 0x3e 0x0600+0x0401 (errcode=1403) 3

0x0305 0x0600+0x0401 Insert 正确 1 0x1169+0x035e 0x0805+0x0402

Insert

错误

1

0x1169+0x035e Mark

请求操作

响应 序列 请求包 响应包 说明 正常连接 无记录 1 连接包 重定向包 正常连接

2 连接包 接受包

不正常连接 无记录

1

连接包

拒绝包

不正常连接