建站
咨詢
售后
建站咨詢
新聞中心
數(shù)據(jù)庫漏洞是指因安全及技術(shù)措施不當或不完善，在運營過程中造成數(shù)據(jù)泄露或被黑客攻擊導(dǎo)致系統(tǒng)崩潰的現(xiàn)象。針對數(shù)據(jù)庫漏洞，采取科學有效的措施非常重要，可以從以下角度出發(fā)：
1. 加強訪問權(quán)限管理
要訪問數(shù)據(jù)庫中的敏感數(shù)據(jù)，先要通過驗證身份才能進行操作。在驗證身份的同時，要對操作權(quán)限進行限定，讓數(shù)據(jù)操作者只能完成其任務(wù)所必要的操作，并將權(quán)限說明文檔化，以供未來的回溯和審核。
2. 對操作記錄進行監(jiān)控
針對數(shù)據(jù)庫操作人員，需要對其操作記錄進行定期監(jiān)控，及時發(fā)現(xiàn)異常的操作行為。要保證不可篡改性，被監(jiān)控的操作必須是紀錄到第三方系統(tǒng)（如審批系統(tǒng)、操作日志維護系統(tǒng)等），以防止遭受銷毀或篡改。
3. 定期進行安全掃描
安全掃描是指通過對漏洞掃描、口令猜測攻擊手段等，發(fā)現(xiàn)或估算數(shù)據(jù)庫的安全風險。定期進行安全掃描，可以掌握當前數(shù)據(jù)庫安全狀態(tài)及漏洞情況，以便及時修復(fù)和加固。
4. 數(shù)據(jù)庫安全審計
與安全掃描類似，數(shù)據(jù)庫安全審計是對數(shù)據(jù)庫進行安全性質(zhì)量檢測的過程。除了驗證賬戶和口令，還應(yīng)注意審計數(shù)據(jù)本身的完整性、真實性，確保審計結(jié)果的準確性。
5. 數(shù)據(jù)庫訪問控制
要直接訪問數(shù)據(jù)庫中的數(shù)據(jù)需要擁有正確的權(quán)限，經(jīng)過授權(quán)并持有合法的訪問口令方可進入數(shù)據(jù)庫。同時，保障訪問權(quán)限的安全性，在用戶進行訪問時，還需對訪問人員進行審批、篩選和審核。
6. 數(shù)據(jù)加密
數(shù)據(jù)加密將數(shù)據(jù)轉(zhuǎn)換為密文，在特定的條件下，密文可以被還原為原文。加密技術(shù)的目的是防止敏感數(shù)據(jù)泄露，保護數(shù)據(jù)庫中的數(shù)據(jù)不被未經(jīng)授權(quán)的人員獲取。常見的數(shù)據(jù)加密方式有對稱加密和非對稱加密等。
7. 強化審核管理
審核管理是通過分析數(shù)據(jù)庫操作日志，確定安全管理的風險點和漏洞，并且預(yù)測可能的安全威脅，提出針對性建議。對于操作日志的存儲，一定要保護操作日志的完整性和保密性。
8. 數(shù)據(jù)庫備份與恢復(fù)
數(shù)據(jù)庫在運營過程中難以避免出現(xiàn)故障、損壞等情況。定期進行數(shù)據(jù)庫備份，保存重要數(shù)據(jù)以避免數(shù)據(jù)丟失。同時定期恢復(fù)也可以通過隔離漏洞恢復(fù)被破譯的數(shù)據(jù)，進行緊急修復(fù)。
總而言之，從管理、技術(shù)、人員安全等多個方面入手，才能全面且有效地保障數(shù)據(jù)庫安全。需要科學的思維、敏銳的洞察力和系統(tǒng)性的方案，以保障我們的數(shù)據(jù)和信息系統(tǒng)得以安全、穩(wěn)定地運行。
成都網(wǎng)站建設(shè)公司-創(chuàng)新互聯(lián)為您提供網(wǎng)站建設(shè)、網(wǎng)站制作、網(wǎng)頁設(shè)計及定制高端網(wǎng)站建設(shè)服務(wù)！
常見的漏洞類型有哪些
之一：注入漏洞
由于其普遍性和嚴重性，注入漏洞位居漏洞排名之一位。常見的注入漏洞包括SQL、LDAP、OS命令、ORM和OGML。用戶可以通過任何輸入點輸入構(gòu)建的惡意代碼，如果應(yīng)用程序沒有嚴格過濾用戶的輸入，一旦輸入的惡意代碼作為命令或者查詢的一部分被發(fā)送到解析器，就可能導(dǎo)致注入漏洞。
第二：跨站腳本漏洞
XSS漏洞的全稱是跨站點腳本漏洞。XSS漏洞是網(wǎng)絡(luò)應(yīng)用程序中常見的安全漏洞，它允許用戶將惡意代碼植入網(wǎng)頁，當其他用戶訪問此頁面時，植入的惡意腳本將在其他用戶的客戶端執(zhí)行。危害有很多，客戶端用戶的信息可以通過XSS漏洞獲取，比如用戶登錄的Cookie信息;信息可以通過XSS蝸牛傳播;木馬可以植入客戶端;可以結(jié)合其他漏洞攻擊服務(wù)器，并在服務(wù)器中植入特洛伊木馬。
第三、文件上傳漏洞
造成文件上傳漏洞的主要原因是應(yīng)用程序中有上傳功能，但上傳的文件沒有通過嚴格的合法性檢查或者檢查功能有缺陷，導(dǎo)致木馬文件上傳到服務(wù)器。文件上傳漏洞危害極大，猛脊因為惡意代碼可以直接上傳到服務(wù)器，可能造成服務(wù)器網(wǎng)頁修改、網(wǎng)站暫停、服務(wù)器遠程控枝螞滲制、后門安裝等嚴重后果。
第四、文件包含漏洞
文件包含漏洞中包含的文件參數(shù)沒有過濾或嚴格定義，參數(shù)可以由用戶控制，可能包含意外文件。如果文件中存在惡意代碼，無論文件是什么后綴類型，文件中的惡意代碼都會被解析物大執(zhí)行，導(dǎo)致文件包含漏洞。
第五、命令執(zhí)行漏洞
應(yīng)用程序的某些函數(shù)需要調(diào)用可以執(zhí)行系統(tǒng)命令的函數(shù)。如果這些功能或者功能的參數(shù)可以被用戶控制，那么惡意的命令就有可能通過命令連接器拼接成正常的功能，從而可以隨意執(zhí)行系統(tǒng)命令。這就是命令執(zhí)行漏洞，屬于高風險漏洞之一。
一、SQL 注入漏洞
SQL 注入攻擊（ SQL Injection ），簡稱注入攻擊、SQL 注入，被廣泛用于非法獲取網(wǎng)站控制權(quán)， 是發(fā)生在
應(yīng)用程序
的數(shù)據(jù)庫層上的安全漏洞。在設(shè)計程序，忽略了對輸入
字符串
中夾帶的SQL 指令的檢查，被數(shù)據(jù)庫誤認為是正常的SQL 指令而運行，從而使數(shù)據(jù)庫受到攻擊，可能導(dǎo)致數(shù)據(jù)被竊取、更改、刪除，以及進一步導(dǎo)致網(wǎng)站被嵌入惡意代碼、被植入后門程序等危害。
通常情況下， SQL 注入的位置包括：
（1）表單提交，主要是POST 請求，也包括GET 請求；
（2）URL 參數(shù)提交，主要為GET 請求參數(shù)；
（3）Cookie 參數(shù)提交；
（4）HTTP 請求頭迅啟部的一些可修改的值，比如Referer 、User_Agent 等；
（5）一些邊緣的輸入點，比如.mp3 文件的一些文件信息等。
SQL 注入的危害不僅體現(xiàn)在數(shù)據(jù)庫層面上， 還有可能危及承載數(shù)據(jù)庫的操作系統(tǒng)；如果SQL 注入被用來掛馬，還可能用來傳播
惡意軟件
等，這些危害包括但不局限于：
（1）數(shù)據(jù)庫信息泄漏：數(shù)據(jù)庫中存放的用戶的隱私信息的泄露。作為數(shù)據(jù)的存儲中心，數(shù)據(jù)庫里往往保存著各類的隱私信息， SQL 注入攻擊能導(dǎo)致這些隱私信息透明于攻擊者。
（2）網(wǎng)頁篡改：通過操作數(shù)據(jù)庫對特定網(wǎng)頁進行篡改。
（3）網(wǎng)站被掛馬，傳播惡意軟件：修改數(shù)據(jù)庫一些字段的值，嵌入網(wǎng)馬鏈接，進行掛馬攻擊。
（4）數(shù)據(jù)庫被惡意操作：數(shù)據(jù)庫服務(wù)器被攻擊，數(shù)據(jù)庫的系統(tǒng)管理員帳戶被篡改。
（5）服務(wù)器被遠程控制，被安裝后門。經(jīng)由數(shù)據(jù)庫服務(wù)器提供的操作系統(tǒng)支持，讓黑客得以修改或控制操作系統(tǒng)。
（6）破壞硬盤數(shù)據(jù)，癱瘓全系統(tǒng)。
解決SQL 注入問題的關(guān)鍵是對所有可能來自用戶輸入的數(shù)據(jù)進行嚴格的檢查、對數(shù)據(jù)庫配置使用最小權(quán)限原則。通常使用的方案有：
（1 ）所有的查詢語句都使用數(shù)據(jù)庫提供的參數(shù)化查詢接口，參數(shù)化的語句使用參數(shù)而不是將用戶輸入變量嵌入到SQL 語句中。當前幾橡隱乎所有的
數(shù)據(jù)庫系統(tǒng)
都提供了參數(shù)化SQL 語句執(zhí)行接口，使用此接口可以非常有效的防止SQL 注入攻擊。
（2 ）對進入數(shù)據(jù)庫的
特殊字符
（ ‘”\&*; 等）進行轉(zhuǎn)義處理，或編碼轉(zhuǎn)換。
（3 ）確認每種數(shù)據(jù)的類型，比如數(shù)字型的數(shù)據(jù)就必須是數(shù)字，數(shù)據(jù)庫中的存儲字段必須對應(yīng)為int 型。
（4）數(shù)據(jù)長度應(yīng)該嚴格規(guī)定，能在一定程度上防止比較長的SQL 注入語句無法正確執(zhí)行。
（5）網(wǎng)站每個數(shù)據(jù)層的編碼統(tǒng)一，建議全部使用UTF-8 編碼，上下層編碼不一致有可能導(dǎo)致一些過濾模型被繞過。
（6）嚴格限制網(wǎng)站用戶的數(shù)據(jù)庫的操作權(quán)限，給此用戶提供僅僅能夠滿足其工作的權(quán)限，從而更大限度的減少注入攻擊對數(shù)據(jù)庫的危害。
（7）避免網(wǎng)站顯示SQL 錯誤信息，比如類型錯誤、字段不匹配等，防止攻擊者利用這些錯誤信息進行一些判斷。
（8）在網(wǎng)站發(fā)布之前建議使用一些專業(yè)的SQL 注入檢測工具進行檢測，及時修補這些SQL 注入漏洞。
二、跨站腳本漏洞
跨站腳本攻擊
（ Cross-site scripting ，通常簡稱為XSS）發(fā)生在客戶端，可被用于進行竊取隱私、釣魚欺騙、竊取密碼、傳播惡意代碼等攻擊。XSS 攻擊使用到的技術(shù)主要為HTML 和Javascript ，也包括VBScript和ActionScript 等。XSS 攻擊對WEB 服務(wù)器雖無直接危害，但是它借助網(wǎng)站進行傳播，使網(wǎng)站的使用用戶受到攻擊，導(dǎo)致網(wǎng)站用戶帳號被竊取，從而對網(wǎng)站也產(chǎn)生了較嚴重的危害。
XSS 類型包括：
（1）非持久型跨站： 即反射型跨站腳本漏洞， 是目前最普遍的跨站類型。跨站代碼一般存在于鏈接中，請求這樣的鏈接時，跨站代碼經(jīng)過服務(wù)端反射回來，這類跨站的代碼不存儲到服務(wù)端（比如數(shù)據(jù)庫中）梁昌廳。上面章節(jié)所舉的例子就是這類情況。
（2）持久型跨站：這是危害最直接的跨站類型，跨站代碼存儲于服務(wù)端（比如數(shù)據(jù)庫中）。常見情況是某用戶在論壇發(fā)貼，如果論壇沒有過濾用戶輸入的Javascript 代碼數(shù)據(jù)，就會導(dǎo)致其他瀏覽此貼的用戶的瀏覽器會執(zhí)行發(fā)貼人所嵌入的Javascript 代碼。
（3）DOM 跨站（DOM XSS ）：是一種發(fā)生在客戶端DOM （Document Object Model
文檔對象模型
）中的跨站漏洞，很大原因是因為客戶端腳本處理邏輯導(dǎo)致的安全問題。
XSS 的危害包括：
（1）釣魚欺騙：最典型的就是利用目標網(wǎng)站的反射型跨站腳本漏洞將目標網(wǎng)站重定向到釣魚網(wǎng)站，或者注入釣魚JavaScript 以監(jiān)控目標網(wǎng)站的表單輸入，甚至發(fā)起基于DHTML 更高級的釣魚攻擊方式。
（2 ）網(wǎng)站掛馬：跨站時利用IFrame 嵌入隱藏的惡意網(wǎng)站或者將被攻擊者定向到惡意網(wǎng)站上，或者彈出惡意網(wǎng)站窗口等方式都可以進行掛馬攻擊。
（3）身份盜用： Cookie 是用戶對于特定網(wǎng)站的身份驗證標志， XSS 可以盜取到用戶的Cookie ，從而利用該Cookie 盜取用戶對該網(wǎng)站的操作權(quán)限。如果一個網(wǎng)站管理員用戶Cookie 被竊取，將會對網(wǎng)站引發(fā)巨大的危害。
（4）盜取網(wǎng)站用戶信息：當能夠竊取到用戶Cookie 從而獲取到用戶身份使，攻擊者可以獲取到用戶對網(wǎng)站的操作權(quán)限，從而查看用戶隱私信息。
（5）垃圾信息發(fā)送：比如在SNS 社區(qū)中，利用XSS 漏洞借用被攻擊者的身份發(fā)送大量的垃圾信息給特定的目標群。
（6）劫持用戶Web 行為：一些高級的XSS 攻擊甚至可以劫持用戶的Web 行為，監(jiān)視用戶的瀏覽歷史，發(fā)送與接收的數(shù)據(jù)等等。
（7）XSS 蠕蟲：XSS 蠕蟲可以用來打廣告、刷流量、掛馬、
惡作劇
、破壞網(wǎng)上數(shù)據(jù)、實施DDoS 攻擊等。
常用的防止XSS 技術(shù)包括：
（1）與SQL 注入防護的建議一樣，假定所有輸入都是可疑的，必須對所有輸入中的script 、iframe 等字樣進行嚴格的檢查。這里的輸入不僅僅是用戶可以直接交互的輸入接口，也包括HTTP 請求中的Cookie 中的變量， HTTP 請求頭部中的變量等。
（2 ）不僅要驗證數(shù)據(jù)的類型，還要驗證其格式、長度、范圍和內(nèi)容。
（3）不要僅僅在客戶端做數(shù)據(jù)的驗證與過濾，關(guān)鍵的過濾步驟在服務(wù)端進行。
（ 4）對輸出的數(shù)據(jù)也要檢查， 數(shù)據(jù)庫里的值有可能會在一個大網(wǎng)站的多處都有輸出，即使在輸入做了編碼等操作，在各處的輸出點時也要進行安全檢查。
（5）在發(fā)布應(yīng)用程序之前測試所有已知的威脅。
三、弱口令漏洞
弱口令(weak password) 沒有嚴格和準確的定義，通常認為容易被別人（他們有可能對你很了解）猜測到或被破解工具破解的口令均為弱口令。設(shè)置密碼通常遵循以下原則：
（1）不使用空口令或系統(tǒng)缺省的口令，這些口令眾所周之，為典型的弱口令。
（2）口令長度不小于8 個字符。
（3）口令不應(yīng)該為連續(xù)的某個字符（例如： AAAAAAAA ）或重復(fù)某些字符的組合（例如： tzf.tzf. ）。
（4）口令應(yīng)該為以下四類字符的組合，大寫字母(A-Z) 、小寫字母(a-z) 、數(shù)字(0-9) 和特殊字符。每類字符至少包含一個。如果某類字符只包含一個，那么該字符不應(yīng)為首字符或尾字符。
（5）口令中不應(yīng)包含本人、父母、子女和配偶的姓名和出生日期、紀念日期、登錄名、E-mail 地址等等與本人有關(guān)的信息，以及字典中的單詞。
（6）口令不應(yīng)該為用數(shù)字或符號代替某些字母的單詞。
（7）口令應(yīng)該易記且可以快速輸入，防止他人從你身后很容易看到你的輸入。
（8）至少90 天內(nèi)更換一次口令，防止未被發(fā)現(xiàn)的入侵者繼續(xù)使用該口令。
四、HTTP 報頭追蹤漏洞
HTTP/1.1 （RFC2616 ）規(guī)范定義了HTTP TRACE 方法，主要是用于客戶端通過向Web 服務(wù)器提交TRACE 請求來進行測試或獲得診斷信息。當Web 服務(wù)器啟用TRACE 時，提交的請求頭會在服務(wù)器響應(yīng)的內(nèi)容（Body ）中完整的返回，其中HTTP 頭很可能包括Session Token 、Cookies 或其它認證信息。攻擊者可以利用此漏洞來欺騙合法用戶并得到他們的私人信息。該漏洞往往與其它方式配合來進行有效攻擊，由于HTTP TRACE 請求可以通過客戶瀏覽器腳本發(fā)起（如XMLHttpRequest ），并可以通過DOM 接口來訪問，因此很容易被攻擊者利用。防御HTTP 報頭追蹤漏洞的方法通常禁用HTTP TRACE 方法。
五、Struts2 遠程命令執(zhí)行漏洞
Apache Struts 是一款建立Java web 應(yīng)用程序的
開放源代碼
架構(gòu)。Apache Struts 存在一個輸入過濾錯誤，如果遇到轉(zhuǎn)換錯誤可被利用注入和執(zhí)行任意Java 代碼。網(wǎng)站存在遠程代碼執(zhí)行漏洞的大部分原因是由于網(wǎng)站采用了Apache Struts Xwork 作為網(wǎng)站應(yīng)用框架，由于該軟件存在遠程代碼執(zhí)高危漏洞，導(dǎo)致網(wǎng)站面臨
安全風險
。CNVD 處置過諸多此類漏洞，例如：“ GPS 車載衛(wèi)星定位系統(tǒng)”網(wǎng)站存在遠程命令執(zhí)行漏洞(CNVD) ；Aspcms 留言本遠程代碼執(zhí)行漏洞（ CNVD）等。
修復(fù)此類漏洞，只需到Apache 官網(wǎng)升級Apache Struts 到最新版本
六、框架釣魚漏洞（框架注入漏洞）
框架注入攻擊是針對Internet Explorer 5 、Internet Explorer 6 、與Internet Explorer 7 攻擊的一種。這種攻擊導(dǎo)致Internet Explorer 不檢查結(jié)果框架的目的網(wǎng)站，因而允許任意代碼像Javascript 或者VBScript 跨框架存取。這種攻擊也發(fā)生在代碼透過多框架注入，肇因于腳本并不確認來自多框架的輸入。這種其他形式的框架注入會影響所有的不確認不受信任輸入的各廠商瀏覽器和腳本。如果應(yīng)用程序不要求不同的框架互相通信，就可以通過完全刪除框架名稱、使用匿名框架防止框架注入。但是，因為應(yīng)用程序通常都要求框架之間相互通信，因此這種方法并不可行。因此，通常使用命名框架，但在每個會話中使用不同的框架，并且使用無法預(yù)測的名稱。一種可行的方法是在每個基本的框架名稱后附加用戶的會話令牌，如main_display 。
七、文件上傳漏洞
文件上傳漏洞通常由于網(wǎng)頁代碼中的文件上傳路徑變量過濾不嚴造成的，如果文件上傳功能實現(xiàn)代碼沒有嚴格限制用戶上傳的文件后綴以及文件類型，攻擊者可通過Web 訪問的目錄上傳任意文件，包括網(wǎng)站后門文件（ webshell ），進而遠程控制網(wǎng)站服務(wù)器。因此，在開發(fā)網(wǎng)站及應(yīng)用程序過程中，需嚴格限制和校驗上傳的文件，禁止上傳惡意代碼的文件。同時限制相關(guān)目錄的執(zhí)行權(quán)限，防范webshell 攻擊。
八、應(yīng)用程序測試腳本泄露
由于測試腳本對提交的參數(shù)數(shù)據(jù)缺少充分過濾，遠程攻擊者可以利用洞以WEB 進程權(quán)限在系統(tǒng)上查看任意文件內(nèi)容。防御此類漏洞通常需嚴格過濾提交的數(shù)據(jù)，有效檢測攻擊。
九、私有IP 地址泄露漏洞
IP 地址是網(wǎng)絡(luò)用戶的重要標示，是攻擊者進行攻擊前需要了解的。獲取的方法較多，攻擊者也會因不同的網(wǎng)絡(luò)情況采取不同的方法，如：在局域網(wǎng)內(nèi)使用Ping 指令， Ping 對方在網(wǎng)絡(luò)中的名稱而獲得IP；在Internet 上使用IP 版的QQ直接顯示。最有效的辦法是截獲并分析對方的網(wǎng)絡(luò)數(shù)據(jù)包。攻擊者可以找到并直接通過軟件解析截獲后的數(shù)據(jù)包的IP 包頭信息，再根據(jù)這些信息了解具體的IP。針對最有效的“數(shù)據(jù)包分析方法”而言，就可以安裝能夠自動去掉發(fā)送數(shù)據(jù)包包頭IP 信息的一些軟件。不過使用這些軟件有些缺點， 譬如：耗費資源嚴重，降低計算機性能；訪問一些論壇或者網(wǎng)站時會受影響；不適合網(wǎng)吧用戶使用等等?，F(xiàn)在的個人用戶采用最普及隱藏IP 的方法應(yīng)該是使用代理，由于使用代理服務(wù)器后，“轉(zhuǎn)址服務(wù)”會對發(fā)送出去的數(shù)據(jù)包有所修改，致使“數(shù)據(jù)包分析”的方法失效。一些容易泄漏用戶IP 的網(wǎng)絡(luò)軟件(QQ 、MSN 、IE 等)都支持使用代理方式連接Internet ，特別是QQ 使用“ ezProxy ”等代理軟件連接后， IP 版的QQ 都無法顯示該IP 地址。雖然代理可以有效地隱藏用戶IP，但攻擊者亦可以繞過代理， 查找到對方的真實IP 地址，用戶在何種情況下使用何種方法隱藏IP，也要因情況而論。
十、未加密登錄請求
由于Web 配置不安全， 登陸請求把諸如用戶名和密碼等敏感字段未加密進行傳輸， 攻擊者可以竊聽網(wǎng)絡(luò)以劫獲這些敏感信息。建議進行例如SSH 等的加密后再傳輸。
十一、敏感信息泄露漏洞
SQL 注入、XSS、目錄遍歷、弱口令等均可導(dǎo)致敏感信息泄露，攻擊者可以通過漏洞獲得敏感信息。針對不同成因，防御方式不同。
數(shù)據(jù)庫漏洞防的介紹就聊到這里吧，感謝你花時間閱讀本站內(nèi)容，更多關(guān)于數(shù)據(jù)庫漏洞防,范措施如何防范數(shù)據(jù)庫漏洞？——30字小貼士,常見的漏洞類型有哪些的信息別忘了在本站進行查找喔。
香港云服務(wù)器機房,創(chuàng)新互聯(lián)（www.cdcxhl.com）專業(yè)云服務(wù)器廠商,回大陸優(yōu)化帶寬,安全/穩(wěn)定/低延遲.創(chuàng)新互聯(lián)助力企業(yè)出海業(yè)務(wù),提供一站式解決方案。香港服務(wù)器-免備案低延遲-雙向CN2+BGP極速互訪！
分享名稱：范措施如何防范數(shù)據(jù)庫漏洞？——30字小貼士(數(shù)據(jù)庫漏洞防)
網(wǎng)頁路徑：http://www.dlmjj.cn/article/dpiiieo.html
