计算机网络数据库存在安全威胁与措施.docVIP

计算机网络数据库存在安全威胁与措施 　　摘 要：数据库技术得到了广泛应用因互联网技术的发展，黑客攻击电脑的重要途径是数据库技术的漏洞，带给计算机系统非常大的安全威胁。本文主要针对计算机网络数据库中存在的各种安全威胁进行分析，提出相应的应对措施，从而对计算及网络数据库的安全管理提出借鉴意义。 　　关键词：计算机网络 数据库 安全威胁 对策 　　中图分类号：TP393.08 文献标识码：A 文章编号：1672-3791（2013）02（c）-0025-01 　　1 计算机网络数据库安全概述 　　对数据库进行安全保护，可以有效的避免非法用户通过窃取、使用、毁坏或更改数据。针对网络数据库的安全问题，主要涵盖以下几个方面：第一，完整的逻辑性。对数据库的整体结构进行保护，只针对部分字段进行修改，其余字段不受影响；第二，完整的物理性。物理及自然问题对数据库不会产生破坏，例如设备故障或电力故障等；第三，安全的元素性。所有正确的元素均存储于数据库中；第四，访问权的控制。对数据库的访问时，用户只有通过授权才能进行访问，并且不同的用户授权的方法是不同的；第五，可审计性。可以对数据库的元素进行修改；第六，可用性。对于授权的用户而言，能够对数据库自由的进行访问。第七，身份验证。对数据访问时，需要严格的身份验证。 　　2 计算机网络数据库存在的安全威胁 　　2.1 数据库的下载 　　很多用户在连接文件的编写时都采用ASP，多数都用语句“（conn.asp）：”对数据库进行保护，正确的单从语句连接以及名称的长度都很保险，而下载的用户也很难对数据库进行破坏。如果采取相关技术或者是暴库技术，能够快速对数据库的情况进行定位，通常用 “% 5c”命令，尽管不能百分之百进行暴库，但成功率也非常高。一旦得到地址，在IE中输入本地下载，即可获取用户名与密码。 　　2.2 注入SQL 　　在互联网中，多数WEB服务器都在防火墙之后设置，只对80端口开放，非法侵入者很难进入端口，因此，80端口也成为他们的目标，通常解决的方法是注入SQL。一部分程序编写人员在编写代码的时候，通常都对用户输入数据的正确性的辨别会疏忽掉，从而带给应用程序较多威胁。将代码输入客户端后，收集处理信息及处理程序，从而获取想要得到的资料，这种方法就称之为注入SQL。对于80端口，注入SQL能够常规进行访问，和访问一般的Web页面类似，防火墙在注入SQL面前也失去作用，因此如果管理员不能及时发现该安全隐患，就会导致严重的后果。 　　3 维护计算机网络数据库安全的应对措施 　　3.1 封堵漏洞 　　（1）查堵URL端的漏洞。审核用户的使用情况，检查用户端经过URL提交的参数中是否有“and、or、、”、：、；、exec、insert、select、delete、from、update、count、user、xp_cmdshell、add、net、asc（、char（、chr（、drop、table、truncate、%、mid等用于SQL注入的常用字符或者字符串，如存在这些字符就停止运行ASP，且提示相应的报警信号错误，含有接收用户URL提交的参数程序中用引入就行。此类措施制止大多数入侵者袭击，对整个程序的执行速度没有造成影响；且还在if语句中设置之前提到使用在SQL注入的常用字符或字符串，拒绝IP在特定时间段的访问权限，增强数据库的安全性能，减少黑客袭击。 　　（2）查堵form或cookies的漏洞。大部分袭击者使用的是form或者cookies提交了包含“or”和“=”等字符进入，制止此类入侵要在程序编写时增加一些特殊的字符，保证程序执行的安全。 　　3.2 增强数据库自身安全 　　（1）数据库文件后缀名改为ASA、ASP的后缀。传统防范措施，部分用户习惯在数据库的后缀由以前的MDB变成ASP或ASA。即使能防止暴库，随着计算机技术的高速发展，传统方式不能满足新的防范要求。对ASP或ASA后缀修改后的文件，黑客通过查找确定存储地方，能与迅雷等下载工具相结合下载后得到。 　　（2）数据库名前加“#”。目前，多数管理员通过对数据库前面添加#号防止数据库被下载，这因为IE没法下载带有#号的文件。除网页可用常规的方式访问外，通过IE的编码技术访问。各个不同的字符在IE里有对应的编码，编码符%23则可取代#号，通过这种方式的处理后，后缀加上#号的数据库文件仍能下载使用。如：下载#data.mdb文件的，只要在浏览器中输入%23data.mdb则数据库文件能通过IE下载，这对于#号防御措施不能发挥作用。 　　（3）对数据库用户密码加密。用户密码加密是另外一项重要的防范措施，一般用MD5加密，该加密方式没有反向算法，破解相对比较困难，即便是非法入侵者得到了加密情况，也很难找到原