信息安全知識競賽培訓_數(shù)據(jù)庫-wenkub
2023-01-31 13:47:39 本頁面
【正文】 ? 數(shù)據(jù)庫安全概述 ? 數(shù)據(jù)庫安全技術 ? 典型數(shù)據(jù)庫安全 ? SQL Server數(shù)據(jù)庫安全 ? Oracle數(shù)據(jù)庫安全 ? SQL Injection安全問題 Oracle介紹 ?近 30年的數(shù)據(jù)庫歷史 ?使用最廣的大型關系數(shù)據(jù)庫 ?支持大量多媒體數(shù)據(jù) ?提供分布式數(shù)據(jù)庫能力 ?最新產品為 Oracle 10g Oracle安全特性 ?Virtual Private Database(虛擬專用數(shù)據(jù)庫 ) ?Oracle 標簽安全 ?選擇性數(shù)據(jù)加密 ?Oracle Policy Manager ?數(shù)據(jù)保密性（ RSA DES） ?數(shù)據(jù)完整性（ MD SHA） ?多層審核 Oracle安全問題 ?Oracle號稱 “ Unbreakable” ?但是： ? Oracle9i Application Server的 SQL Injection 漏洞（ 61號警報2021年 11月 7日） ? 文件中受限內容的未授權訪問（ 60號警報 2021年 10月 28日） ? Database Server Binaries的緩沖區(qū)溢出（ 59號警報 2021年 11月 13日） ? Oracle9i Database Server的 XML Database的緩沖區(qū)溢出（ 58號警報 2021年 8月 18日） ? …… Oracle數(shù)據(jù)庫基礎知識 ? Oracle 8i及更高版本數(shù)據(jù)庫的版本信息的命令是 ? cd $ORACLE_HOME/install ? cat ? Oracle數(shù)據(jù)庫中，物理磁盤資源包括以下： ? 控制文件 ? 重作日志文件 ? 數(shù)據(jù)文件 ? Oracle數(shù)據(jù)庫 listener的日志文件 $ORACLE_HOME/work/log/： ? 客戶端請求的時間 ? 連接方式 ? 連接程序，網絡協(xié)議 ? 主機名，網絡端口號 ? Oracle數(shù)據(jù)庫的歸檔日志是在線日志的備份 ? 在 Oracle數(shù)據(jù)庫設置 listener口令時，在 oracle用戶下運行 lsnrctl命令 為什么 Unbreakable？ ?Oracle比 Web服務器少很多 ?多數(shù) Oracle受防火墻保護 ?針對 Oracle的攻擊技術開放有限 ?但是 …… ? 免費下載讓更多人開始接觸 Oracle ? 攻擊技術已經在逐步公開 主要安全問題 ?嚴重的緩沖區(qū)溢出漏洞 ?Oracle默認情況下，口令的傳輸方式是明文 ?多個默認賬戶口令 ? SYS： CHANGE_ON_INSTALL ? SYSTEM： MANAGER ? DBSNMP： DBSNMP ? SCOTT： TIGER ?SQL Injection ?Listener Service ?錯誤的角色管理 補丁修補 ?在 Oracle數(shù)據(jù)庫進行安全補丁升級時，需要關閉所有與 Oracle數(shù)據(jù)庫相關的應用和服務。 ? SQL select * from dba_profiles where RESOURCE_NAME = 39。 ?口令有效期 ? 檢查口令有效期 ? SQL select * from dba_profiles where RESOURCE_NAME = 39。FAILED_LOGIN_ATTEMPTS39。 ?UTL_TCP權限 ? SQL revoke execute on utl_TCP from public。 ? sqlselect ,file, from user$ a,dba_users b where a. name=。 Request(UserName) amp。 Request(Pass) amp?！?防范 SQL Injection ?從根本上避免出現(xiàn) SQL Injection漏洞 ， 必須提高WEB程序員的安全意識和安全編程技能來解決程序本身的漏洞； ?代碼中必須對所有用戶輸入進行嚴格的過濾 ， 對單引號 、 雙引號以及 “ ”等符號 、 非指定的數(shù)據(jù)類型及數(shù)據(jù)長度進行過濾； ?合理設置數(shù)據(jù)庫應用程序的權限； ?對數(shù)據(jù)庫系統(tǒng)進行必要的安全配置 。 Set objRst=(strSQL) If NOT Then …… ?攻擊性輸入： 在用戶名中輸入： ? or 1=1。 AND Password=39。 SQL Injection安全問題 ?漏洞是在編程過程中造成的 ?攻擊者直接通過數(shù)據(jù)庫應用程序（如 WEB），因此能繞過防火墻等保護設備 ?受到平臺的限制很小 ?能直接對數(shù)據(jù)庫產生影響，造成破壞大 漏洞實例 ?存在漏洞的程序代碼： …… strSQL=SELECT * FROM User WHERE UserName=39。 資源安全審計 ?設置限制的 Oracle安裝目錄權限 ?設置數(shù)據(jù)庫文件權限
教學課件相關推薦
鄂ICP備17016276號-1