基本的SQL安全策略.docxVIP

基本的?SQL?安全策略 　一个故事引起的安全意识 前几日笔者在家里的?PC?上安装了?Windows7?旗舰版的操作系统，顺便搭了 sqlserver2008?和?vs2010?的开发环境，本打算业余时间可以方便开发、学习。可 是不尽人意啊！用了不到两天，居然突然出现一个新建的系统用户，还是管理 员组的。晕死了，机器让人给挂马了，成了“肉鸡，养马场”...仔细排查后（看 Windows?日志，sqlserver?日志等），初步推断:是某位无聊的“黑客”同志，通过 扫描器踩点后，然后用“1433?端口入侵工具”去找?sa?用户弱口令，挂上“黑客字 典”，弱口令一会儿就可以算出来了。接下来就获得了系统管理员权限，给我机 器上放了一些“类似于特洛伊的小虫子”，有新建了一个帐户。加入管理员组， 做个提权。。。哎哟！NND?还想给我来远程控制啊？还好，这位仁兄比较有 “职业道德”，估计也是在“友情检测”罢了，至少在我发现之前，没有做什么严 重的破坏（删除数据，格盘等危险操作）。 看来我得好好反省了，毕竟自己在中学时代也是个“黑客爱好者”，曾混迹 于各大黑客论坛，网站联盟等。入侵者惯用的那些手法和思路，我还是非常熟 悉的，虽然有几年没有接触了。分析一下我的失误：1.安装系统的时候，随便 指定了管理员，并给了空口令。2.没有检查防火墙，安全策略，杀毒软件等(认 为自己至少在曾经是很懂安全的，估计没人敢惹我，应该没事的)。3.安装数据 库的前后，没有做任何的安全控制，例如用户，权限等。就连?sa?用户，为了图 个方便快速，也随便给了弱口令。o(∩_∩)o?哈哈。今天就总结一下?sqlserver?的 安全相关问题（注意：暂时不讨论?sql?注入方面的知识，因为我觉得?sql?注入更 接近“脚本安全”，和程序员更加关系密切。我今天说的，可能更适合于系统管 理员或者?DBA） 大多数系统管理员对数据库不熟悉而数据库管理员有对安全问题关心太少， 而且一些安全公司也忽略数据库安全，这就使数据库的安全问题更加严峻了。 如果数据库管理员不希望操作系统管理员来通过操作系统登陆来接触数据库 数据库是电子商务、金融以及?ERP?系统的基础，通常都保存着重要的商业 伙伴和客户信息。大多数企业、组织以及政府部门的电子数据都保存在各种数 据库中，他们用这些数据库保存一些个人资料，比如员工薪水、个人资料等等。 数据库服务器还掌握着敏感的金融数据。包括交易记录、商业事务和帐号数据， 战略上的或者专业的信息，比如专利和工程数据，甚至市场计划等等应该保护 起来防止竞争者和其他非法者获取的资料。数据完整性和合法存取会受到很多 方面的安全威胁，包括密码策略、系统后门、数据库操作以及本身的安全方案。 但是数据库通常没有象操作系统和网络这样在安全性上受到重视。 微软的?SQL?Server?是一种广泛使用的数据库，很多电子商务网站、企业内部信 息化平台等都是基于?SQL?Server?上的，但是数据库的安全性还没有被人们更系 统的安全性等同起来，多数管理员认为只要把网络和操作系统的安全搞好了， 那么所有的应用程序也就安全了。大多数系统管理员对数据库不熟悉而数据库 管理员有对安全问题关心太少，而且一些安全公司也忽略数据库安全，这就使 数据库的安全问题更加严峻了。数据库系统中存在的安全漏洞和不当的配置通 常会造成严重的后果，而且都难以发现。数据库应用程序通常同操作系统的最 高管理员密切相关。广泛?SQL?Server?数据库又是属于“端口”型的数据库，这就 表示任何人都能够用分析工具试图连接到数据库上，从而绕过操作系统的安全 机制，进而闯入系统、破坏和窃取数据资料，甚至破坏整个系统。?　　 这里，我们主要谈论有关?SQL?Server2000?数据库的安全配置以及一些相关的安 全和使用上的问题。?　　 在进行?SQL?Server?2000?数据库的安全配置之前，首先你必须对操作系统进行安 全配置，保证你的操作系统处于安全状态。然后对你要使用的操作数据库软件 （程序）进行必要的安全审核，比如对?ASP、PHP?等脚本，这是很多基于数据 库的?WEB?应用常出现的安全隐患，对于脚本主要是一个过滤问题，需要过滤 一些类似?,?‘?;?@?/?等字符，防止破坏者构造恶意的?SQL?语句。接着，安装?SQL Server2000?后请打上补丁?sp1?以及最新的?sp2。 下载地址是：/sql/downloads/2000/sp1.asp　和　 /sql/downloads/2000/sp2.asp?　　 在做完上面三步基础之后，我们再来讨论?SQL?Server?的安全配置。 　1、使用安全的密码策略 我们把密码策略摆在所有安全配置的第一步，请注意，很多数据库帐号的密码 过于简单，这跟系统