sqlinjection資料隱碼簡(jiǎn)介-資料下載頁(yè)
2025-07-17 17:20本頁(yè)面
【正文】 CT、 UPDATE等 ? 針對(duì)輸入條件進(jìn)行規(guī)範(fàn)，如無(wú)必要，應(yīng)規(guī)範(fàn)為僅可接受大小寫(xiě)英文字母與數(shù)字等 ? 針對(duì)特殊的查詢參數(shù)進(jìn)行過(guò)濾，如 、 39。 等可利用 replace(xx, 39。 , 39。 39。 )進(jìn)行替換 ? 進(jìn)行程式寫(xiě)作時(shí)，應(yīng)時(shí)常檢查程式是否存在有非預(yù)期輸入資料的漏洞。 Cryptology amp。 Network Security Lab. 如何防範(fàn) SQL Injection (cont.) ? 資料庫(kù)管制方面 ? Sa管理帳號(hào)的密碼管控 ? 刪除多餘的公開(kāi)資料表 (程式開(kāi)發(fā)、範(fàn)例等 ) ? 若無(wú)特殊必要，將其他使用者設(shè)定為一般使用者權(quán)限，以避免完整資料庫(kù)內(nèi)容遭入侵 ? 移除不必要但功能強(qiáng)大的延伸預(yù)存程序，如xp_cmdshell 、 xp_regaddmultistring 、xp_unpackcab等 Cryptology amp。 Network Security Lab. 如何防範(fàn) SQL Injection (cont.) ? 網(wǎng)站伺服器方面 ? 定期修補(bǔ)作業(yè)系統(tǒng)與網(wǎng)站伺服器的漏洞 ? 避免 ASP、 PHP與 JSP程式源碼洩漏，造成使用者可以直接瀏覽 ? 更改預(yù)設(shè)的網(wǎng)站虛擬路徑，如 IIS系統(tǒng)不要使用預(yù)設(shè)的 C:\Ipub\WWWRoot\的目錄 ? 不提供錯(cuò)誤訊息給使用者 ? 攻擊者可藉由回報(bào)的錯(cuò)誤訊息得知資料庫(kù)的結(jié)構(gòu) ? 建議將錯(cuò)誤輸入重導(dǎo)到適當(dāng)網(wǎng)頁(yè) ? 修改 C:\WINNT\Help\iisHelp\mon\錯(cuò)誤網(wǎng)頁(yè) Cryptology amp。 Network Security Lab. 如何防範(fàn) SQL Injection (cont.) ? 外部防護(hù)系統(tǒng)的控管 ? 可藉由防火牆系統(tǒng)管制 port 1433與 1434的連線 ? 藉由防火牆限制網(wǎng)路登入者的身份 ? 藉由 Hostbased IDS或 Applicationbased IDS來(lái)監(jiān)控系統(tǒng)運(yùn)作的執(zhí)行 Cryptology amp。 Network Security Lab. 參考資料 ? The Open Web Application Security Project ? 新波科技 ? 精誠(chéng)公司安全通報(bào) Cryptology amp。 Network Security Lab. 參考資料 (cont.) ? 臺(tái)灣微軟公司關(guān)於 SQL Injection的相關(guān)報(bào)導(dǎo) ? ? ? SQL Server電子雜誌
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1