4-数据库安全培训.pptVIP

目录 第一章 数据库概述 第二章 数据库常见攻击 第三章 数据库安全防护 ORACLE数据库安全 Sql server数据库安全 数据库发展历史 数据库系统构成 数据库 数据库是按照数据结构来组织、存储和管理数据的仓库。 数据库管理系统（DBMS） 专门负责数据库管理和维护的计算机软件系统。为用户及程序提供数据访问，并对数据库进行管理、维护，通常主要包括存储管理器和查询处理器两大部分。如：DB2、Oracle、SQL Server等。 数据库模型 数据库安全 什么是数据库安全性？ 数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄露、更改或破坏。 数据库面临的威胁 数据库的安全要求 数据库的安全需求 保证本层自身的安全； 实现本层对上层的安全支撑； 尽可能减少本层对下层的安全依赖 目录 第一章 数据库概述 第二章 数据库常见攻击 第三章 数据库安全防护 ORACLE数据库安全 Sql server数据库安全 SQL注入攻击 Web应用程序访问数据库会造成特定的一些潜在安全问题。SQL注入攻击仍然稳居黑客至爱兵器榜的首位，对那些想要保护数据安全的企业来说，这是个大麻烦。 据CVE的2006年度统计数据显示，SQL注入攻击漏洞呈逐年上升的状态 　　 页面盲注 页面注入 SQL注入案例 ..\案例\演示\MSSQL SA injection.exe 暴露数据连接字符串 由于数据库连接文件使用inc扩展名文件，而该扩展名文件在WEB服务端未配置任务的映射，当从WEB请求时，会以文本文件的形式显示出来，从来暴露其数据库连接信息 弱口令利用 ..\案例\演示\oracle.exe 请思考 目录 第一章 数据库概述 第二章 数据库常见攻击 第三章 数据库安全防护 ORACLE数据库安全 Sql server数据库安全 Oracle介绍 近30年的数据库历史 使用最广的大型关系数据库 支持大量多媒体数据 提供分布式数据库能力 最新产品为Oracle 11g Oracle安全特性 Virtual Private Database(虚拟专用数据库) Oracle 标签安全 选择性数据加密 Oracle Policy Manager 数据保密性（RSA DES） 数据完整性（MD5、SHA） 多层审核 Oracle安全问题 Oracle号称“Unbreakable” 但是： Oracle9i Application Server的SQL Injection 漏洞（61号警报2003年11月7日） 文件中受限内容的未授权访问（60号警报2003年10月28日） Database Server Binaries的缓冲区溢出（59号警报2003年11月13日） Oracle9i Database Server的XML Database的缓冲区溢出（58号警报2003年8月18日） 2008年4月份Oracle发布安全漏洞达41个。其中包括参数过滤不严密导致允许远程攻击者执行SQL注入攻击。 安装时的安全 采用满足需求的最小安装 Advanced Replication support Multithreaded server support Net8 network software Oracle Advanced Security Oracle Enterprise Manager Oracle HTTP Server Oracle interMedia Oracle Spatial Oracle Time series Oracle server Net8 client 安装时的安全（续） 安装目录和系统盘分开 在windows下,oracle服务不用system权限运行 不要把OSDBA授予root 补丁安装 版本信息 Select * from v$version; .2 8 is the version number 1 is the new features release number 5 is the maintenance release number 1 is the generic patch set number 2 is the platform specific patch set number 补丁信息 M 数据库运行模式 Oracle运行模式查看 运行命令 sqlplus /nolog sql connect /as sysdba sqlarchive log list; 更改Oracle运行模式 Shutdown database 修改initSID.ora文件 Startup mount ALTER DATABASE ARCHIVELOG Alter d