信息安全知識競賽培訓(xùn)_數(shù)據(jù)庫-文庫吧在線文庫
【正文】 如果 LIMIT為 NULL，建議設(shè)定口令驗(yàn)證函數(shù)。 用戶管理 口令安全策略 口令加密傳輸 ?默認(rèn)情況下，口令明文傳輸 ?通過配置在網(wǎng)絡(luò)上通過 DES加密傳輸 ? 在 Client上將 ORA_ENCRYPT_LOGIN 變量設(shè)置成 TURE ? 在 Server上將 DBLINK_ENCRYPT_LOGIN 參數(shù)設(shè)置成TURE 角色安全性 ?創(chuàng)建安全的 DBA賬戶密碼 ?只有 DBA能用管理權(quán)限連入數(shù)據(jù)庫 ?限制特定的系統(tǒng)權(quán)限授予開發(fā)者和應(yīng)用 回收 PUBLIC的權(quán)限 ?UTL_FILE權(quán)限 ? SQL revoke execute on utl_FILE from public。 SQL Injection安全問題 ?漏洞是在編程過程中造成的 ?攻擊者直接通過數(shù)據(jù)庫應(yīng)用程序（如 WEB），因此能繞過防火墻等保護(hù)設(shè)備 ?受到平臺的限制很小 ?能直接對數(shù)據(jù)庫產(chǎn)生影響，造成破壞大 漏洞實(shí)例 ?存在漏洞的程序代碼： …… strSQL=SELECT * FROM User WHERE UserName=39。 Set objRst=(strSQL) If NOT Then …… ?攻擊性輸入： 在用戶名中輸入： ? or 1=1。 Request(Pass) amp。 ? sqlselect ,file, from user$ a,dba_users b where a. name=。FAILED_LOGIN_ATTEMPTS39。 ? SQL select * from dba_profiles where RESOURCE_NAME = 39。, 39。 ] ? 例 sp_dropextendedproc 39。 ? Windows 身份驗(yàn)證模式（ Windows 身份驗(yàn)證） ? Windows 身份驗(yàn)證模式使用戶得以通過 Windows用戶帳戶進(jìn)行連接。 ?數(shù)據(jù)庫保存著敏感的信息資源，如客戶信息或個(gè)人資料、商業(yè)事務(wù)、業(yè)務(wù)帳務(wù)等。 ? 隨著 Inter的發(fā)展 XML成為標(biāo)準(zhǔn)語言， XML數(shù)據(jù)庫成為發(fā)展的新趨勢。 ?IBM公司在 1968年開發(fā)的 IMS（ Information Management System），是一種層次數(shù)據(jù)庫系統(tǒng) ?1970年， IBM的研究員 ，奠定了關(guān)系模型的理論基礎(chǔ)。 ?1976年 Honeywell公司開發(fā)了第一個(gè)商用關(guān)系數(shù)據(jù)庫系統(tǒng) ——Multics Relational Data Store。 ? 目前流行的數(shù)據(jù)庫系統(tǒng)是關(guān)系數(shù)據(jù)庫，它也是最有效率的數(shù)據(jù)組織方式之一，所有數(shù)據(jù)都按表進(jìn)行組織和管理。 安全層次和身份驗(yàn)證模式 ? SQL Server支持三級安全層次： ? 第一個(gè)層次是，用戶必須登錄到 SQL Server，或者已經(jīng)成功登錄了一個(gè)映射到SQL Server的 NT帳號。procedure39。procedure39。 入侵檢測和管理 ?入侵檢測結(jié)合以下資源 ? 數(shù)據(jù)庫本身日志 ? 數(shù)據(jù)庫紀(jì)錄內(nèi)容 ? 系統(tǒng)日志 ? 數(shù)據(jù)庫應(yīng)用日志（比如 IIS） ? 對 SQL數(shù)據(jù)庫來說，用戶輸入的符號 —?對系統(tǒng)的安全威脅最大，需要在數(shù)據(jù)輸入進(jìn)行數(shù)據(jù)過濾。 ? SQL alter profile DEFAULT limit PASSWORD_VERIFY_FUNCTION VERIFY_FUNCTION。 ?UTL_HTTP權(quán)限 ? SQL revoke execute on utl_HTTP from public。 amp。那么執(zhí)行的 sql語句就變?yōu)椋? strSQL=“SELECT * FROM User WHERE UserName=?? or 1=1。 amp。 常用數(shù)據(jù)庫運(yùn)維命令 ?oracle數(shù)據(jù)庫用戶登陸 ? 運(yùn)行命令 sqlplus /nolog ? sql connect /as sysdba。 限制客戶端對數(shù)據(jù)庫的訪問 ? Oracle數(shù)據(jù)庫可通過設(shè)置 限制客戶端 IP地址對數(shù)據(jù)庫的訪問 ，具體操作包括以下步驟： ? = YES ? = (list of IP addresses) ? = (list of IP addresses) ? 重啟 listener 登錄次數(shù)限制 ?失敗的登錄嘗試 ? 檢查失敗的登錄嘗試 ?SQL select * from dba_profiles where RESOURCE_NAME = 39。 口令檢查 ?口令強(qiáng)度分析 ? 檢查是否使用口令驗(yàn)證函數(shù)。xp_cmdshell39。procedure39。例如，可以指定用戶有權(quán)使用哪些表和視圖、運(yùn)行哪些存儲過程。 內(nèi)容提要 ? 數(shù)據(jù)庫概述 ? 數(shù)據(jù)庫安全概述 ? 數(shù)據(jù)庫安全技術(shù) ? 典型數(shù)據(jù)庫安全 ? SQL Server數(shù)據(jù)庫安全 ? Oracle數(shù)據(jù)庫安全 ?SQL Injection安全問題 數(shù)據(jù)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1