信息安全知識競賽培訓(xùn)_數(shù)據(jù)庫-閱讀頁
2025-01-31 13:47本頁面
【正文】 求對所有元素、組成成分等都要劃分類別和級別 ?推理控制 ? 防止通過間接的方式越權(quán)獲取數(shù)據(jù)，比如信息竊取 ?存取控制 ? 主體是用戶、進程等，客體是數(shù)據(jù)、表、記錄、元素、字段等 ? DAC和 MAC 數(shù)據(jù)庫加密技術(shù)（一） ?庫外加密 ? 將數(shù)據(jù)庫的文件作為加密對象 ?優(yōu)點： ? 對 DBMS的要求少 ?缺點： ? 效率低 ? 數(shù)據(jù)解密需要很大的時間和空間代價 數(shù)據(jù)庫加密技術(shù)（二） ?庫內(nèi)加密 ? 加密對象為數(shù)據(jù)庫中存儲的數(shù)據(jù)，比如表、記錄、元素、數(shù)據(jù)等。 安全層次和身份驗證模式 ? SQL Server支持三級安全層次： ? 第一個層次是，用戶必須登錄到 SQL Server，或者已經(jīng)成功登錄了一個映射到SQL Server的 NT帳號。 ? 第二層次的安全權(quán)限允許用戶與一個特定的數(shù)據(jù)庫相連接。例如，可以指定用戶有權(quán)使用哪些表和視圖、運行哪些存儲過程。 ? 混合模式（ Windows身份驗證和 SQL Server 身份驗證） ? 混合模式使用戶得以使用 Windows 身份驗證或 SQL Server 身份驗證與 SQL Server 實例連接。procedure39。xp_cmdshell39。procedure39。xp_cmdshell39。procedure39。DLL39。xp_cmdshell39。C:\Program Files\Microsoft SQL Server\MSSQL\Binn\39。 入侵檢測和管理 ?入侵檢測結(jié)合以下資源 ? 數(shù)據(jù)庫本身日志 ? 數(shù)據(jù)庫紀錄內(nèi)容 ? 系統(tǒng)日志 ? 數(shù)據(jù)庫應(yīng)用日志（比如 IIS） ? 對 SQL數(shù)據(jù)庫來說，用戶輸入的符號 —?對系統(tǒng)的安全威脅最大，需要在數(shù)據(jù)輸入進行數(shù)據(jù)過濾。 ?參考： .htm 賬戶管理 ?列舉可見用戶 ? select username from all_users ?列舉所有用戶 ? select username from dba_users ?檢查用戶配置 ? select username,profile,account_status from dba_users ?為 Oracle數(shù)據(jù)庫安全考慮，在多人共同對數(shù)據(jù)庫進行維護時，應(yīng)分別重新定義角色。 口令檢查 ?口令強度分析 ? 檢查是否使用口令驗證函數(shù)。PASSWORD_VERIFY_FUNCTION 39。 ? SQL alter profile DEFAULT limit PASSWORD_VERIFY_FUNCTION VERIFY_FUNCTION。PASSWORD_LIFE_TIME39。 限制客戶端對數(shù)據(jù)庫的訪問 ? Oracle數(shù)據(jù)庫可通過設(shè)置 限制客戶端 IP地址對數(shù)據(jù)庫的訪問 ，具體操作包括以下步驟： ? = YES ? = (list of IP addresses) ? = (list of IP addresses) ? 重啟 listener 登錄次數(shù)限制 ?失敗的登錄嘗試 ? 檢查失敗的登錄嘗試 ?SQL select * from dba_profiles where RESOURCE_NAME = 39。 ? 如果 LIMIT為 NULL，建議修改失敗的登錄嘗試 ?ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 3。 ?UTL_HTTP權(quán)限 ? SQL revoke execute on utl_HTTP from public。 ?UTL_SMTP權(quán)限 ? SQL revoke execute on utl_SMTP from public。 常用數(shù)據(jù)庫運維命令 ?oracle數(shù)據(jù)庫用戶登陸 ? 運行命令 sqlplus /nolog ? sql connect /as sysdba。 ?更改用戶口令 ? alter user 用戶名 identified by 新口令 推薦站點 ?? ? ? 內(nèi)容提要 ?數(shù)據(jù)庫概述 ?數(shù)據(jù)庫安全概述 ?數(shù)據(jù)庫安全技術(shù) ?典型數(shù)據(jù)庫安全 ? SQL Server數(shù)據(jù)庫安全 ? Oracle數(shù)據(jù)庫安全 ?SQL Injection安全問題 SQL Injection ?漏洞原理：在數(shù)據(jù)庫應(yīng)用的編程過程中 ， 由于程序員沒有對用戶輸入數(shù)據(jù)進行規(guī)范檢查 ， 導(dǎo)致攻擊者能夠通過構(gòu)造惡意輸入數(shù)據(jù) ， 操作數(shù)據(jù)庫執(zhí)行 ， 甚至能直接攻擊操作系統(tǒng) ?SQL Injection（ SQL注入 ） ， 就是利用某些數(shù)據(jù)庫的外部應(yīng)用把特定的數(shù)據(jù)命令插入到實際的數(shù)據(jù)庫操作語言當中 ， 從而達到入侵數(shù)據(jù)庫乃至操作系統(tǒng)的目的 。 amp。 39。 amp。 39。那么執(zhí)行的 sql語句就變?yōu)椋? strSQL=“SELECT * FROM User WHERE UserName=?? or 1=1。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1