SQL 攻擊數(shù)據(jù)庫的防范措施

王 鵬 房海龍

(伊春市森林防火指揮部，黑龍江 伊春 153000)

1 數(shù)據(jù)庫系統(tǒng)的安全框架

數(shù)據(jù)庫系統(tǒng)的安全除依賴自身的安全機制外，還與外部網(wǎng)絡環(huán)境、應用環(huán)境、從業(yè)人員素質(zhì)等因素息息相關(guān)，因此，從廣義上講，數(shù)據(jù)庫系統(tǒng)的安全框架可以劃分為五個層次，這里主要講其中的三個層次。

(1)網(wǎng)絡層安全

從廣義上講，數(shù)據(jù)庫的安全首先依賴于網(wǎng)絡系統(tǒng)。隨著Internet 的發(fā)展和普及，越來越多的公司將其核心業(yè)務向互聯(lián)網(wǎng)轉(zhuǎn)移，各種基于網(wǎng)絡的數(shù)據(jù)庫應用系統(tǒng)如雨后春筍般涌現(xiàn)出來，面向網(wǎng)絡用戶提供各種信息服務。可以說網(wǎng)絡系統(tǒng)是數(shù)據(jù)庫應用的外部環(huán)境和基礎，數(shù)據(jù)庫系統(tǒng)要發(fā)揮其強大作用離不開網(wǎng)絡系統(tǒng)的支持，數(shù)據(jù)庫系統(tǒng)的用戶(如異地用戶、分布式用戶)也要通過網(wǎng)絡才能訪問數(shù)據(jù)庫的數(shù)據(jù)。網(wǎng)絡系統(tǒng)的安全是數(shù)據(jù)庫安全的第一道屏障，外部入侵首先就是從入侵網(wǎng)絡系統(tǒng)開始的。

從技術(shù)角度講，網(wǎng)絡系統(tǒng)層次的安全防范技術(shù)有很多種，大致可以分為防火墻、入侵檢測、VPN 技術(shù)等。

(2)操作系統(tǒng)層安全

操作系統(tǒng)是大型數(shù)據(jù)庫系統(tǒng)的運行平臺，為數(shù)據(jù)庫系統(tǒng)提供一定程度的安全保護。目前操作系統(tǒng)平臺大多數(shù)集中在windows NT 和UNIX，安全級別通常為C1、C2 級。主要安全技術(shù)有操作系統(tǒng)安全策略、安全管理策略、數(shù)據(jù)安全等方面。

操作系統(tǒng)安全策略用于配置本地計算機的安全設置，包括密碼策略、賬戶鎖定策略、審核策略、IP 安全策略、用戶權(quán)利指派、加密數(shù)據(jù)的恢復代理以及其他安全選項。具體可以體現(xiàn)在用戶賬戶、口令、訪問權(quán)限、審計等方面。

(3)數(shù)據(jù)庫管理系統(tǒng)層安全

數(shù)據(jù)庫系統(tǒng)的安全性很大程度上依賴于數(shù)據(jù)庫管理系統(tǒng)。如果數(shù)據(jù)庫管理系統(tǒng)安全機制非常強大，則數(shù)據(jù)庫系統(tǒng)的安全性能就較好。目前市場上流行的是關(guān)系式數(shù)據(jù)庫管理系統(tǒng)，其安全性功能很弱，這就導致數(shù)據(jù)庫系統(tǒng)的安全性存在一定的威脅。

數(shù)據(jù)庫管理系統(tǒng)層次安全技術(shù)主要是用來解決這一問題的，即當前面兩個層次已經(jīng)被突破的情況下仍能保障數(shù)據(jù)庫數(shù)據(jù)的安全，這就要求數(shù)據(jù)庫管理系統(tǒng)必須有—套強有力的安全機制;解決這一問題的有效方法之—是數(shù)據(jù)庫管理系統(tǒng)對數(shù)據(jù)庫文件進行加密處理，使得即使數(shù)據(jù)不幸泄露或者丟失，也難以被人破譯和閱讀。

以上這三個層次構(gòu)筑成數(shù)據(jù)庫系統(tǒng)的安全體系，與數(shù)據(jù)安全的關(guān)系是逐步緊密的，防范的必要也逐層加強，從外到內(nèi)、內(nèi)表及里保證數(shù)據(jù)的安全。

2 SQL 注入攻擊的防范

隨著一些自動化注入攻擊的出現(xiàn)，目前針對Web 應用的SQL 注入攻擊越來越普遍，技術(shù)也在不斷翻新。但是SQL 注入的基本原理還是通過構(gòu)造畸形的SQL 語句，繞過認證系統(tǒng)獲得敏感信息。然而為了使用Web 服務器和數(shù)據(jù)庫服務器的功能，實現(xiàn)信息交互的目的、就不可避免的暴露一些可以被攻擊者非法利用的安全缺陷。如何采取有效的措施阻止內(nèi)部信息泄露，將系統(tǒng)的安全威脅降至最低是防護的關(guān)鍵。這需要從配置Web 服務器、配置數(shù)據(jù)庫和編寫安全代碼等多方面著手，加強系統(tǒng)安全性，這里僅僅從Web 服務器的安全配置方面來簡單闡述一下方法或者是措施。

由于Web 服務器龐大而復雜的結(jié)構(gòu)，使得Web 服務器在安全方面難免存在缺陷。正確配置Web 服務器可以有效降低SQL 注入的風險。

(1)修改服務器初始配置

服務器在安裝時會添加默認的用戶和默認口令，開啟默認的連接端門等，這些都會給攻擊者留下入侵的可能。在安裝完成后應該及時刪除默認的賬號或者修改默認登錄名的權(quán)限。關(guān)閉所有服務端口后，再開啟需要使用的端口。

(2)及時安裝服務器安全補丁

及時對服務器模塊進行必要的更新，特別是官方提供的有助于提高系統(tǒng)安全性的補丁包。使服務器保持最新的補丁包，運行穩(wěn)定的版本。

(3)關(guān)閉服務器的錯誤提示信息

錯誤提示信息對于調(diào)試中的應用程序有著很重要的作用，但是當Web 應用一旦發(fā)布，這些錯誤提示信息就應該被關(guān)閉。詳細的錯誤信息也會讓攻擊者獲得很多重要信息。自行設置一種錯誤提示信息，即所有錯誤都只返回同一條錯誤消息，讓攻擊無法獲得有價值的信息。

(4)配置目錄權(quán)限

對于Web 應用程序所在的目錄可以設置其為只讀的。通過客戶端上傳的文件單獨存放，并設置為沒有可執(zhí)行權(quán)限，并且不在允許Web 訪問的目錄下存放機密的系統(tǒng)配置文件。這樣是為了防止注入攻擊者上傳惡意文件，例如，Webshell 等。

(5)刪除危險的服務器組件

有些服務器組件會為系統(tǒng)管理員提供方便的配置途徑，比如通過Web 頁面配置服務器和數(shù)據(jù)庫、運行系統(tǒng)命令等。但是這些組件可能被惡意用戶加以利用，從而對服務器造成嚴重的威脅。為安全起見，應當及時刪除這樣的服務器組件。

3 結(jié)語

從技術(shù)上講，如今的SQL 注入攻擊者們在如何找出有漏洞的網(wǎng)站方面更加聰明，也更加全面了。出現(xiàn)了一些新型的SQL 攻擊手段。黑客們可以使用各種工具來加速漏洞的利用過程。我們不妨看看the Asprox Trojan 這種木馬，它主要通過一個發(fā)布郵件的僵尸網(wǎng)絡來傳播，其整個工作過程可以這樣描述:首先，通過受到控制的主機發(fā)送的垃圾郵件將此木馬安裝到電腦上，然后，受到此木馬感染的電腦會下載一段二進制代碼，在其啟動時，它會使用搜索引擎搜索用微軟的ASP 技術(shù)建立表單的、有漏洞的網(wǎng)站。搜索的結(jié)果就成為SQL 注入攻擊的靶子清單。接著，這個木馬會向這些站點發(fā)動SQL 注入式攻擊，使有些網(wǎng)站受到控制、破壞。訪問這些受到控制和破壞的網(wǎng)站的用戶將會受到欺騙，從另外一個站點下載一段惡意的JavaScript 代碼。最后，這段代碼將用戶指引到第三個站點，這里有更多的惡意軟件，如竊取口令的木馬。

雖然以前Web 應用程序的程序員們對其代碼進行測試并打補丁，雖然SQL 注入漏洞被發(fā)現(xiàn)和利用的機率并不太高。但近來攻擊者們越來越多地發(fā)現(xiàn)并惡意地利用這些漏洞。因此，在部署其軟件之前，開發(fā)人員應當更加主動地測試其代碼，并在新的漏洞出現(xiàn)后立即對代碼打補丁。