【数据安全形式分析与攻防演示】详解.pptxVIP

数据安全 形式分析与攻防演示 @汉领信息科技 目录纲要 理论 实践 安全是一种对抗 头脑风暴，入侵或拿走财政局数据中心里的核心数据有哪些手段？ 站在黑客的角度思考信息安全 那么企业数据库安全就是最短的一块木板 如果把信息安全防护能力看成是一个木桶 数据是否安全取决于 最短那块木板 “ ” 信息安全的难点： 空间上不确定 时间上不确定 B/S C/S 数据 数据安全 结构化数据（高） 非结构化数据 （中） 人 拥有管理权限（高危） 拥有使用权限（中危） 拥有接触权限（低危） 系统0day/应用程序0day 直接接触/间接接触数据 常见攻击手法 常见手法 DDOS攻击 ARP攻击 木马植入 SQL注入攻击 社会工程 暴力破解 DDoS是英文Distributed Denial of Service的缩写，意即“分布式拒绝服务” ： 首先从一个比方来深入理解什么是DDOS。 一群恶霸试图让对面那家有着竞争关系的商铺无法正常营业，他们会采取什么手段呢？（只为举例，切勿模仿）恶霸们扮作普通客户一直拥挤在对手的商铺，赖着不走，真正的购物者却无法进入；或者总是和营业员有一搭没一搭的东扯西扯，让工作人员不能正常服务客户；也可以为商铺的经营者提供虚假信息，商铺的上上下下忙成一团之后却发现都是一场空，最终跑了真正的大客户，损失惨重。此外恶霸们完成这些坏事有时凭单干难以完成，需要叫上很多人一起。嗯，网络安全领域中DoS和DDoS攻击就遵循着这些思路。 ARP攻击究竟是什么？ 对于ARP原理与ARP攻击的解释，网上非常的多，我就不再引用别的文字了。用很显浅形象的图文去解释一下，大概就如下图： 班长在发信件时喊某你的名字xxx，有人冒充你一直对班长说，我是xxx，但这个班长只认名字不去求证，所以就把信给了那个冒认的人了，那么很可惜你就看不到本来属于你的信件了。就这样就被“欺骗攻击”了。 同理，ARP欺骗攻击就像上例一样，欺骗局域网内的路由器(发信的班长)，故意让路由器把数据传给错误的主机(同学)或者扰乱原本正常的通信(发信规则)，导致受攻击的主机不能上网或被限制。 什么是暴力破解攻击？ 暴力破解攻击是指攻击者通过系统地组合所有可能性（例如登录时用到的账户名、密码），尝试所有的可能性破解用户的账户名、密码等敏感信息。攻击者会经常使用自动化脚本组合出正确的用户名和密码。对防御者而言，给攻击者留的时间越长，其组合出正确的用户名和密码的可能性就越大。这就是为什么时间在检测暴力破解攻击时是如此的重要了。 经典案例：12306撞库事件： 拒绝服务攻击防御 定期扫描 过滤不必要的端口与服务 节点配置防火墙/DDOS设备 过滤IP地址 限制SYN/ICMP流量 检查来源 ARP欺骗防御 使用静态ARP缓存 IP 与MAC地址绑定 ARP防御工具 SQL注入 SQL注入（ SQL Injection ）：程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据或进行数据库操作。 SQL注入简单示例 Select * from table where user=‘admin’ and pwd=‘SdfG#345!’; admin SdfG#345! Select * from table where user=‘admin’ and pwd=‘or‘1=‘1’ admin 123’ or ‘1=1 由于密码的输入方式，使得查询语句返回值永远为True，因此通过验证 POST注入示例演示1 SQL注入范例－执行SQL命令 1、联合查询越权查阅管理员用户表 /showdetail.asp?id=49 and 1=2 union select Password from Admin where 12 and 1=1 2、调用SQL Server内置的存储过程xp_cmdshell /showdetail.asp?id=49;exec master..xp_cmdshell net user name password /add-- /showdetail.asp?id=49;exec master..xp_cmdshell net localgroup administrators name /add-- Get型注入示例演示2 开发时过滤特殊字符： 单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符 过滤的对象: 用户的输入 提交的URL请求中的参数部分 从cookie中得到的数据 定义参数类型及字符串长度等 部署防SQL注入系统或脚本 SQL注入防御 总结-web安全漏洞产生的原因 系统和软件的设计存在缺陷，通信协议不完备；