信息安全知識(shí)競(jìng)賽培訓(xùn)_數(shù)據(jù)庫(kù)(參考版)
2025-01-19 13:47本頁(yè)面
【正文】 ” 防范 SQL Injection ?從根本上避免出現(xiàn) SQL Injection漏洞 ， 必須提高WEB程序員的安全意識(shí)和安全編程技能來(lái)解決程序本身的漏洞； ?代碼中必須對(duì)所有用戶輸入進(jìn)行嚴(yán)格的過(guò)濾 ， 對(duì)單引號(hào) 、 雙引號(hào)以及 “ ”等符號(hào) 、 非指定的數(shù)據(jù)類型及數(shù)據(jù)長(zhǎng)度進(jìn)行過(guò)濾； ?合理設(shè)置數(shù)據(jù)庫(kù)應(yīng)用程序的權(quán)限； ?對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行必要的安全配置 。 Set objRst=(strSQL) If NOT Then …… ?攻擊性輸入： 在用戶名中輸入： ? or 1=1。 Request(Pass) amp。 AND Password=39。 Request(UserName) amp。 SQL Injection安全問(wèn)題 ?漏洞是在編程過(guò)程中造成的 ?攻擊者直接通過(guò)數(shù)據(jù)庫(kù)應(yīng)用程序（如 WEB），因此能繞過(guò)防火墻等保護(hù)設(shè)備 ?受到平臺(tái)的限制很小 ?能直接對(duì)數(shù)據(jù)庫(kù)產(chǎn)生影響，造成破壞大 漏洞實(shí)例 ?存在漏洞的程序代碼： …… strSQL=SELECT * FROM User WHERE UserName=39。 ? sqlselect ,file, from user$ a,dba_users b where a. name=。 資源安全審計(jì) ?設(shè)置限制的 Oracle安裝目錄權(quán)限 ?設(shè)置數(shù)據(jù)庫(kù)文件權(quán)限 ? $ORACLE_HOME/dbs/*.dbf，設(shè)置這些文件的使用權(quán)限為 0600 ?讓 DBA才有權(quán)限處理數(shù)據(jù)庫(kù)目錄 ? 設(shè)置 initsid.ora（ 9i控制文件）參數(shù)： ? O7_DICTIONARY_ACCESSIBILITY = FALSE 網(wǎng)絡(luò)安全審計(jì) ? 限制 IP地址 ? （ Oracle Net配置文件） ? = YES ? = {list of IP addresses} ? = {list of IP addresses} ? 阻止 Listener上的未授權(quán)管理 ? （ Oracle Listener配置文件） ? ADMIN_RESTRICTIONS_listener_name=ON ? 限制遠(yuǎn)程鑒別 ? initsid.ora （ Oracle控制文件） ? REMOTE_OS_AUTHENT = FALSE ? 通過(guò)防火墻等保護(hù)通訊端口 （ TCP1521） 啟用審計(jì) ? 在初始化配置文件中設(shè)置參數(shù)： ? AUDIT_TRAIL=DB ? 需要重起數(shù)據(jù)庫(kù)實(shí)例 ? 指定審計(jì) ? 例：審計(jì)所有數(shù)據(jù)庫(kù)連接和斷開(kāi)連接 ? AUDIT SESSION ? 例：審計(jì)以下不成功操作 ? AUDIT select table, delete table, execute procedure BY ACCESS WHENEVER NOT SUCCESSFUL ? 察看審計(jì) ? select * from $ 保護(hù)審計(jì) ?只為管理員授予 $ 的 DELETE、 INSERT、UPDATE權(quán)限 ?只為安全管理員授予 DELETE ANY TABLE權(quán)限 ?審計(jì)對(duì)數(shù)據(jù)庫(kù)審計(jì)跟蹤所做的修改 ? AUDIT INSERT, UPDATE, DELETE ON $ BY ACCESS。 ?UTL_TCP權(quán)限 ? SQL revoke execute on utl_TCP from public。 用戶管理 口令安全策略 口令加密傳輸 ?默認(rèn)情況下，口令明文傳輸 ?通過(guò)配置在網(wǎng)絡(luò)上通過(guò) DES加密傳輸 ? 在 Client上將 ORA_ENCRYPT_LOGIN 變量設(shè)置成 TURE ? 在 Server上將 DBLINK_ENCRYPT_LOGIN 參數(shù)設(shè)置成TURE 角色安全性 ?創(chuàng)建安全的 DBA賬戶密碼 ?只有 DBA能用管理權(quán)限連入數(shù)據(jù)庫(kù) ?限制特定的系統(tǒng)權(quán)限授予開(kāi)發(fā)者和應(yīng)用 回收 PUBLIC的權(quán)限 ?UTL_FILE權(quán)限 ? SQL revoke execute on utl_FILE from public。FAILED_LOGIN_ATTEMPTS39。 ? 如果 LIMIT為 NULL，建議修改口令有效期 ? SQL ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME 60。 ?口令有效期 ? 檢查口令有效期 ? SQL select * from dba_profiles where RESOURCE_NAME = 39。 ? 如果 LIMIT為 NULL，建議設(shè)定口令驗(yàn)證函數(shù)。 ? SQL select * from dba_profiles where RESOURCE_NAME = 39。 ?若對(duì)多個(gè) Oracle數(shù)據(jù)庫(kù)進(jìn)行集中管理，對(duì) sysdba的管理方式最好選擇 password文件認(rèn)證方式。 需要警惕 …… ?數(shù)據(jù)庫(kù)日志： ? 多次登錄失敗紀(jì)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1