重庆分公司,新征程启航
为企业提供网站建设、域名注册、服务器等服务
解决方法分几个不同的级别:
创新互联公司主打移动网站、网站建设、网站设计、网站改版、网络推广、网站维护、空间域名、等互联网信息服务,为各行业提供服务。在技术实力的保障下,我们为客户承诺稳定,放心的服务,根据网站的内容与功能再决定采用什么样的设计。最后,要实现符合网站需求的内容、功能与设计,我们还会规划稳定安全的技术方案做保障。
1.假设所用的client是810,则用能够解锁的用户登陆后,用T-code: SU01,输入用户名,点击解锁按钮
2.如果客户创建的所有的用户都已经被锁定,则可用默认用户SAP*/PASS登陆后操作
3. 如果包括默认用户都已被锁定,则登陆数据库将SAP schema下的usr02表中对应相应client中的SAP*用户记录删除。SAP如果发现这些超级账号不存在,就会自动再建立一个。然后就可通过默认用户SAP*/PASS登陆后操作
Notice:需要非常注意的是前提\\SAP server machine\root directory \usr\sap\ER1\SYS\profile里面参数 login/no_automatic_user_sapstar设置为0,如果没有就要创建一个
Example for Oracle database 10g:
sqlplus /nolog
connect / as sysdba*
select count(*) from SAPSR3.usr02 where bname='SAP*' and mandt='810';
delete from sapsid.usr02 where bname='SAP*' and mandt='810';
commit;
su01
输入用户名,上方菜单栏下边的一行图标,靠右边有个锁一样的图标,就是那个了
第一步,登录SAP系统,并访问USR02表中的数据
这个表中,我们可以看到BName(用户名)以及Bcode(code version B类型的密码哈希值)等重要信息。
第二步,将上表中的数据导出为EXCEL文件。
第三步 对导出的excel文件进行预处理。
执行perl sap_prepare.pl
c:\sapbcode.txt。该命令将sap的用户名和密码哈希值(codeB)转换为密码破解工具可接受的格式。
第四步,执行破解命令
john c:\sapbcode.txt。破解结果就会显示在屏幕上。
对于不在字典上的密码,我也做过测试,6位长度的密码,需要1小时左右的时间可以计算出来。如果是8位长的密码,一天左右的时间就可以了(不是很精确的测试)。
我的电脑性能如下:貌似也就是一般般啊,哈哈。
Intel Core 2 CPU 6300 @ 1.86G Hz2G RAM总结:SAP努力开发出更安全的哈希流程来保证密码哈希值的安全性。然而由于非安全的实施,以及非整体性的系统安全考虑,造成客户系统中的密码安全水平通常都非常之低。我检测过一些国内客户的SAP系统。基本上100%的系统采用的是不安全的参数配置(我检测过的系统太少了哈)。建议公司的Basis顾问都去看看自己公司SAP系统的参数配置。
如果因为公司原因不得不采用兼容性的哈希算法,那么用户的权限控制就非常重要了!
用户得到新的密码后,如果是对话型用户,在随后的第一次登陆时需要修改密码。
用户登录SAP系统如果发生密码错误,重复多次则会被锁定(Lock),需管理员进行解锁(Unlock)。允许重复次数由系统参数设定,默认为3次。另外,如果用户遗忘密码,则需要管理员进行密码初始化(Initial Password)。以上都是在事务代码SU01进行操作。
出于管理要求,管理员需要在某些时候对指定用户进行加锁操作,使其不可登录;也可以进行解锁允许用户登录。