數(shù)據(jù)庫(kù)的非常規(guī)式安全隱患分析報(bào)告(編輯修改稿)
2025-08-31 00:00 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ；這個(gè)時(shí)候，當(dāng)監(jiān)聽者獲取服務(wù)器和客戶端之間通訊的數(shù)據(jù)庫(kù)包，就可以對(duì)這些數(shù)據(jù)報(bào)展開分析了。這種方法，對(duì)于通訊雙方的服務(wù)器和客戶端來(lái)說(shuō)，他們是不可能知道有人在監(jiān)聽的，這是由這種類型網(wǎng)絡(luò)的結(jié)構(gòu)所決定的。 分析SQL2K，發(fā)現(xiàn)其客戶端發(fā)送的所有信息都是以明文形式發(fā)送，而服務(wù)器返回的信息是一個(gè)很簡(jiǎn)單的多次異或、移位的加密算法（其加密算法我們是通過反編譯其源碼獲取的）。分析這個(gè)數(shù)據(jù)庫(kù)系統(tǒng)的實(shí)例，我們可以很容易的獲取很多秘密的信息。 對(duì)于這樣防范的方法，有如下的兩種方法： 1）加密通訊雙方的數(shù)據(jù)進(jìn) 由于數(shù)據(jù)庫(kù)信息系統(tǒng)的數(shù)據(jù)庫(kù)以及其客戶端程序是公開的，故其加密算法也是公開的，這就要求加密算法對(duì)于加密之后的數(shù)據(jù)，即使攻擊者獲取密文之后也無(wú)法破譯明文，其一就是要求加密算法的秘鑰長(zhǎng)度足夠。按算法復(fù)雜度而言，隨著秘鑰長(zhǎng)度的增加，加密算法的開銷也會(huì)很快增加的；如若選取強(qiáng)度大的加密算法，勢(shì)必造成整個(gè)數(shù)據(jù)庫(kù)系統(tǒng)的性能降低；這也是現(xiàn)在很多的商業(yè)數(shù)據(jù)庫(kù)選取簡(jiǎn)單的加密算法的一個(gè)初衷所在。這種方法，對(duì)于要求數(shù)據(jù)保密級(jí)別很高的應(yīng)用才需要，一般應(yīng)用只需要選取一個(gè)簡(jiǎn)單的加密算法即可。 2）改變網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu) 對(duì)于網(wǎng)絡(luò)監(jiān)聽而言，分為有線監(jiān)聽和無(wú)線監(jiān)聽；無(wú)線監(jiān)聽就是直接監(jiān)聽服務(wù)器發(fā)出的電磁波來(lái)達(dá)到監(jiān)聽的目的，我們重點(diǎn)是討論基于internet的有線監(jiān)聽，就是攻擊者有限接入。由于一般的局域網(wǎng)都是采取的IEEE 802協(xié)議結(jié)構(gòu)來(lái)實(shí)現(xiàn)的，所以在同一個(gè)局域網(wǎng)內(nèi)的任何用戶都可以監(jiān)聽到該局域網(wǎng)內(nèi)收發(fā)的所用數(shù)據(jù)報(bào)。若改變這種拓?fù)浣Y(jié)構(gòu)，加入IEEE ，這樣就可以避免局域網(wǎng)的數(shù)據(jù)報(bào)被其他攻擊者所監(jiān)聽到。此處考慮的是局域網(wǎng)信息，如果是基于internet的數(shù)據(jù)庫(kù)訪問的話，網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)就加入路由器，若攻擊者監(jiān)聽對(duì)于數(shù)據(jù)庫(kù)服務(wù)器所經(jīng)過的路由器的數(shù)據(jù)報(bào)，此時(shí)的重點(diǎn)防患的即是保護(hù)路由器。 基于SQL語(yǔ)句 基于SQL語(yǔ)句的一個(gè)典型的攻擊實(shí)例就是數(shù)據(jù)庫(kù)推理機(jī)制，在此不討論這個(gè)問題；而是從應(yīng)用程序級(jí)別就是客戶端程序的級(jí)別來(lái)討論這個(gè)問題。 考慮實(shí)際的應(yīng)用系統(tǒng)，涉及到1000個(gè)（實(shí)際上更多）用戶以及該用戶的一些相關(guān)信息，在數(shù)據(jù)庫(kù)中我們并不是為著每個(gè)用戶建立一個(gè)用戶以及相應(yīng)的權(quán)限等信息；而是創(chuàng)建一個(gè)表，然后由這個(gè)表記載著所有用戶的名字、密碼等信息。實(shí)際上，基本上所有的商業(yè)應(yīng)用系統(tǒng)或者一般的MIS都是這樣做的（其實(shí)也只能這么做）。然后，當(dāng)一個(gè)用戶登陸的
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1