信息安全知識(shí)競(jìng)賽培訓(xùn)_數(shù)據(jù)庫(kù)-資料下載頁(yè)
2025-01-16 13:47本頁(yè)面
【正文】 ublic。 ?UTL_HTTP權(quán)限 ? SQL revoke execute on utl_HTTP from public。 ?UTL_TCP權(quán)限 ? SQL revoke execute on utl_TCP from public。 ?UTL_SMTP權(quán)限 ? SQL revoke execute on utl_SMTP from public。 資源安全審計(jì) ?設(shè)置限制的 Oracle安裝目錄權(quán)限 ?設(shè)置數(shù)據(jù)庫(kù)文件權(quán)限 ? $ORACLE_HOME/dbs/*.dbf，設(shè)置這些文件的使用權(quán)限為 0600 ?讓 DBA才有權(quán)限處理數(shù)據(jù)庫(kù)目錄 ? 設(shè)置 initsid.ora（ 9i控制文件）參數(shù)： ? O7_DICTIONARY_ACCESSIBILITY = FALSE 網(wǎng)絡(luò)安全審計(jì) ? 限制 IP地址 ? （ Oracle Net配置文件） ? = YES ? = {list of IP addresses} ? = {list of IP addresses} ? 阻止 Listener上的未授權(quán)管理 ? （ Oracle Listener配置文件） ? ADMIN_RESTRICTIONS_listener_name=ON ? 限制遠(yuǎn)程鑒別 ? initsid.ora （ Oracle控制文件） ? REMOTE_OS_AUTHENT = FALSE ? 通過(guò)防火墻等保護(hù)通訊端口 （ TCP1521） 啟用審計(jì) ? 在初始化配置文件中設(shè)置參數(shù)： ? AUDIT_TRAIL=DB ? 需要重起數(shù)據(jù)庫(kù)實(shí)例 ? 指定審計(jì) ? 例：審計(jì)所有數(shù)據(jù)庫(kù)連接和斷開(kāi)連接 ? AUDIT SESSION ? 例：審計(jì)以下不成功操作 ? AUDIT select table, delete table, execute procedure BY ACCESS WHENEVER NOT SUCCESSFUL ? 察看審計(jì) ? select * from $ 保護(hù)審計(jì) ?只為管理員授予 $ 的 DELETE、 INSERT、UPDATE權(quán)限 ?只為安全管理員授予 DELETE ANY TABLE權(quán)限 ?審計(jì)對(duì)數(shù)據(jù)庫(kù)審計(jì)跟蹤所做的修改 ? AUDIT INSERT, UPDATE, DELETE ON $ BY ACCESS。 常用數(shù)據(jù)庫(kù)運(yùn)維命令 ?oracle數(shù)據(jù)庫(kù)用戶登陸 ? 運(yùn)行命令 sqlplus /nolog ? sql connect /as sysdba。 ? sqlselect ,file, from user$ a,dba_users b where a. name=。 ?更改用戶口令 ? alter user 用戶名 identified by 新口令 推薦站點(diǎn) ?? ? ? 內(nèi)容提要 ?數(shù)據(jù)庫(kù)概述 ?數(shù)據(jù)庫(kù)安全概述 ?數(shù)據(jù)庫(kù)安全技術(shù) ?典型數(shù)據(jù)庫(kù)安全 ? SQL Server數(shù)據(jù)庫(kù)安全 ? Oracle數(shù)據(jù)庫(kù)安全 ?SQL Injection安全問(wèn)題 SQL Injection ?漏洞原理：在數(shù)據(jù)庫(kù)應(yīng)用的編程過(guò)程中 ， 由于程序員沒(méi)有對(duì)用戶輸入數(shù)據(jù)進(jìn)行規(guī)范檢查 ， 導(dǎo)致攻擊者能夠通過(guò)構(gòu)造惡意輸入數(shù)據(jù) ， 操作數(shù)據(jù)庫(kù)執(zhí)行 ， 甚至能直接攻擊操作系統(tǒng) ?SQL Injection（ SQL注入 ） ， 就是利用某些數(shù)據(jù)庫(kù)的外部應(yīng)用把特定的數(shù)據(jù)命令插入到實(shí)際的數(shù)據(jù)庫(kù)操作語(yǔ)言當(dāng)中 ， 從而達(dá)到入侵?jǐn)?shù)據(jù)庫(kù)乃至操作系統(tǒng)的目的 。 SQL Injection安全問(wèn)題 ?漏洞是在編程過(guò)程中造成的 ?攻擊者直接通過(guò)數(shù)據(jù)庫(kù)應(yīng)用程序（如 WEB），因此能繞過(guò)防火墻等保護(hù)設(shè)備 ?受到平臺(tái)的限制很小 ?能直接對(duì)數(shù)據(jù)庫(kù)產(chǎn)生影響，造成破壞大 漏洞實(shí)例 ?存在漏洞的程序代碼： …… strSQL=SELECT * FROM User WHERE UserName=39。 amp。 Request(UserName) amp。 39。 AND Password=39。 amp。 Request(Pass) amp。 39。 Set objRst=(strSQL) If NOT Then …… ?攻擊性輸入： 在用戶名中輸入： ? or 1=1。，那么執(zhí)行的 sql語(yǔ)句就變?yōu)椋? strSQL=“SELECT * FROM User WHERE UserName=?? or 1=1。” 防范 SQL Injection ?從根本上避免出現(xiàn) SQL Injection漏洞 ， 必須提高WEB程序員的安全意識(shí)和安全編程技能來(lái)解決程序本身的漏洞； ?代碼中必須對(duì)所有用戶輸入進(jìn)行嚴(yán)格的過(guò)濾 ， 對(duì)單引號(hào) 、 雙引號(hào)以及 “ ”等符號(hào) 、 非指定的數(shù)據(jù)類型及數(shù)據(jù)長(zhǎng)度進(jìn)行過(guò)濾； ?合理設(shè)置數(shù)據(jù)庫(kù)應(yīng)用程序的權(quán)限； ?對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行必要的安全配置 。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1