數(shù)據(jù)庫的非常規(guī)式安全隱患分析報告(編輯修改稿)
2025-08-31 00:00 本頁面
【文章內(nèi)容簡介】 ；這個時候，當監(jiān)聽者獲取服務(wù)器和客戶端之間通訊的數(shù)據(jù)庫包，就可以對這些數(shù)據(jù)報展開分析了。這種方法，對于通訊雙方的服務(wù)器和客戶端來說，他們是不可能知道有人在監(jiān)聽的，這是由這種類型網(wǎng)絡(luò)的結(jié)構(gòu)所決定的。 分析SQL2K，發(fā)現(xiàn)其客戶端發(fā)送的所有信息都是以明文形式發(fā)送，而服務(wù)器返回的信息是一個很簡單的多次異或、移位的加密算法（其加密算法我們是通過反編譯其源碼獲取的）。分析這個數(shù)據(jù)庫系統(tǒng)的實例，我們可以很容易的獲取很多秘密的信息。 對于這樣防范的方法，有如下的兩種方法： 1）加密通訊雙方的數(shù)據(jù)進 由于數(shù)據(jù)庫信息系統(tǒng)的數(shù)據(jù)庫以及其客戶端程序是公開的，故其加密算法也是公開的，這就要求加密算法對于加密之后的數(shù)據(jù)，即使攻擊者獲取密文之后也無法破譯明文，其一就是要求加密算法的秘鑰長度足夠。按算法復雜度而言，隨著秘鑰長度的增加，加密算法的開銷也會很快增加的；如若選取強度大的加密算法，勢必造成整個數(shù)據(jù)庫系統(tǒng)的性能降低；這也是現(xiàn)在很多的商業(yè)數(shù)據(jù)庫選取簡單的加密算法的一個初衷所在。這種方法，對于要求數(shù)據(jù)保密級別很高的應(yīng)用才需要，一般應(yīng)用只需要選取一個簡單的加密算法即可。 2）改變網(wǎng)絡(luò)的拓撲結(jié)構(gòu) 對于網(wǎng)絡(luò)監(jiān)聽而言，分為有線監(jiān)聽和無線監(jiān)聽；無線監(jiān)聽就是直接監(jiān)聽服務(wù)器發(fā)出的電磁波來達到監(jiān)聽的目的，我們重點是討論基于internet的有線監(jiān)聽，就是攻擊者有限接入。由于一般的局域網(wǎng)都是采取的IEEE 802協(xié)議結(jié)構(gòu)來實現(xiàn)的，所以在同一個局域網(wǎng)內(nèi)的任何用戶都可以監(jiān)聽到該局域網(wǎng)內(nèi)收發(fā)的所用數(shù)據(jù)報。若改變這種拓撲結(jié)構(gòu)，加入IEEE ，這樣就可以避免局域網(wǎng)的數(shù)據(jù)報被其他攻擊者所監(jiān)聽到。此處考慮的是局域網(wǎng)信息，如果是基于internet的數(shù)據(jù)庫訪問的話，網(wǎng)絡(luò)的拓撲結(jié)構(gòu)就加入路由器，若攻擊者監(jiān)聽對于數(shù)據(jù)庫服務(wù)器所經(jīng)過的路由器的數(shù)據(jù)報，此時的重點防患的即是保護路由器。 基于SQL語句 基于SQL語句的一個典型的攻擊實例就是數(shù)據(jù)庫推理機制，在此不討論這個問題；而是從應(yīng)用程序級別就是客戶端程序的級別來討論這個問題。 考慮實際的應(yīng)用系統(tǒng)，涉及到1000個（實際上更多）用戶以及該用戶的一些相關(guān)信息，在數(shù)據(jù)庫中我們并不是為著每個用戶建立一個用戶以及相應(yīng)的權(quán)限等信息；而是創(chuàng)建一個表，然后由這個表記載著所有用戶的名字、密碼等信息。實際上，基本上所有的商業(yè)應(yīng)用系統(tǒng)或者一般的MIS都是這樣做的（其實也只能這么做）。然后，當一個用戶登陸的
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1