| |
使用用戶提供的數(shù)據(jù)進(jìn)行數(shù)據(jù)庫(kù)查詢的任何應(yīng)用程序是SQL注入攻擊的一個(gè)潛在目標(biāo)。數(shù)據(jù)庫(kù)管理員可能無(wú)法完全阻止針對(duì)其數(shù)據(jù)庫(kù)服務(wù)器的SQL注入式攻擊；但是，管理員們和應(yīng)用程序開(kāi)發(fā)人員可以做一些事情，將這些攻擊的影響最小化。
數(shù)據(jù)庫(kù)管理員可以做什么？
不要讓數(shù)據(jù)庫(kù)和Web服務(wù)器放在同一臺(tái)計(jì)算機(jī)上
使用防火墻或不可路由的IP地址來(lái)阻止到數(shù)據(jù)庫(kù)的互聯(lián)網(wǎng)訪問(wèn)。一旦配置完畢，來(lái)自數(shù)據(jù)庫(kù)服務(wù)器的數(shù)據(jù)包將不能被轉(zhuǎn)發(fā)到互聯(lián)網(wǎng)。在Web服務(wù)器上需要添加一條路由，這樣才能找到數(shù)據(jù)庫(kù)服務(wù)器。
配置可信任的IP接入和訪問(wèn)（例如，IPSEC），以控制哪些機(jī)器能夠與數(shù)據(jù)庫(kù)服務(wù)器通信。
從數(shù)據(jù)庫(kù)服務(wù)器上移除所有的示例腳本和應(yīng)用程序。
為每一個(gè)應(yīng)用程序的數(shù)據(jù)庫(kù)連接賬戶使用一個(gè)專用的低特權(quán)賬戶。不要使用sa、dba、admin。
不要準(zhǔn)許用戶或應(yīng)用程序直接訪問(wèn)數(shù)據(jù)庫(kù)表。要使用對(duì)數(shù)據(jù)庫(kù)擁有有限訪問(wèn)的應(yīng)用程序角色。如果應(yīng)用程序僅需要讀取訪問(wèn)，就要將數(shù)據(jù)庫(kù)的訪問(wèn)限制為只讀。
從生產(chǎn)數(shù)據(jù)庫(kù)中移除未用的存儲(chǔ)過(guò)程。
將對(duì)應(yīng)用程序的訪問(wèn)僅授權(quán)給用戶創(chuàng)建的存儲(chǔ)過(guò)程。
不要將應(yīng)用程序的“_ANY_”授權(quán)給操作系統(tǒng)命令或系統(tǒng)存儲(chǔ)過(guò)程。
應(yīng)用程序的設(shè)計(jì)人員可以做什么？
程序設(shè)計(jì)人員肩負(fù)著保障Web應(yīng)用程序安全的重要責(zé)任。在設(shè)計(jì)和編碼階段加強(qiáng)安全審察才是杜絕程序漏洞的關(guān)鍵。大體而言，程序設(shè)計(jì)者至少應(yīng)當(dāng)實(shí)施下面的一些措施：
要?jiǎng)?chuàng)建應(yīng)用程序要生成的特定的通用錯(cuò)誤消息。因?yàn)�，在一次SQL注入攻擊期間，通過(guò)數(shù)據(jù)庫(kù)生成的默認(rèn)的錯(cuò)誤消息，攻擊者可以獲取有價(jià)值的信息，如表格和欄的名稱。
在將用戶服務(wù)的輸入提交給數(shù)據(jù)庫(kù)之前，驗(yàn)證用戶輸入的合法性。僅接受所期望的用戶輸入，并限制其長(zhǎng)度。注意，只要可能，使用白名單列表檢查所有的用戶輸入。應(yīng)用程序服務(wù)器防火墻可被用于檢查所有的輸入，并僅接受那些符合標(biāo)準(zhǔn)的輸入。
在程序開(kāi)發(fā)期間，使用Web應(yīng)用程序掃描工具發(fā)現(xiàn)代碼中漏洞。
將Web應(yīng)用程序與SQL數(shù)據(jù)庫(kù)隔離開(kāi)來(lái)，將應(yīng)用程序所要求的所有SQL放置在數(shù)據(jù)庫(kù)服務(wù)器上。
使用靜態(tài)查詢。如果需要?jiǎng)討B(tài)查詢，就使用準(zhǔn)備好的語(yǔ)句。
使用一個(gè)安全的接口，如ADO的Command Object，使應(yīng)用程序執(zhí)行存儲(chǔ)過(guò)程。
檢測(cè)SQL注入漏洞和攻擊
要檢測(cè)易于受攻擊的應(yīng)用程序并不是簡(jiǎn)單事情，因?yàn)檫@些漏洞可能存在于面向用戶的任何應(yīng)用程序接口中。雖然并非所有的SQL注入攻擊技術(shù)都易于檢測(cè)，但數(shù)據(jù)庫(kù)管理員或開(kāi)發(fā)人員可以做以下的事情：
閱讀Web服務(wù)器的日志。有時(shí)，在這些日志中就可輕易地發(fā)現(xiàn)SQL注入攻擊,因?yàn)檫@時(shí)寫(xiě)往日志的登錄項(xiàng)目要比平常多得多。
查找HTTP 404和HTTP 500錯(cuò)誤日志項(xiàng)目，以及程序生成的檢查用戶輸入的其它的錯(cuò)誤日志項(xiàng)目。
使用Web應(yīng)用程序掃描工具。這些工具可被用于警告數(shù)據(jù)庫(kù)管理員，告知管理員應(yīng)用程序中易受SQL注入攻擊的地方。
在部署應(yīng)用程序之前，檢查其中的SQL注入因素至關(guān)重要。
總之，一個(gè)防御SQL注入攻擊的穩(wěn)健方案應(yīng)是在開(kāi)發(fā)、部署、管理、維護(hù)的多個(gè)方面都進(jìn)行檢查，并且需要安全管理人員不斷地注意SQL注入的最新動(dòng)向，采用切實(shí)可行的工具，使程序的漏洞最小化。
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
