| |
當(dāng)管理SQL Server內(nèi)在的帳戶(hù)和密碼時(shí)，我們很容易認(rèn)為這一切都相當(dāng)?shù)陌踩�。但�?shí)際上并非如此。在這里，我們列出了一些對(duì)于SQL Server密碼來(lái)說(shuō)非常危險(xiǎn)的判斷。
當(dāng)管理SQL Server內(nèi)在的帳戶(hù)和密碼時(shí)，我們很容易認(rèn)為這一切都相當(dāng)?shù)陌踩�。畢竟，你的SQL Server系統(tǒng)被保護(hù)在防火墻里，而且還有Windows身份驗(yàn)證的保護(hù)，所有用戶(hù)都需要密碼才能進(jìn)入。這聽(tīng)起來(lái)非常的安全，特別是當(dāng)你認(rèn)為所有人都這么做的時(shí)候�？蓪�(shí)際上，它并不像我們想象得那么安全。
在這里，我們列出了一些對(duì)于SQL Server密碼來(lái)說(shuō)非常危險(xiǎn)的判斷：
密碼測(cè)試無(wú)需計(jì)劃
當(dāng)進(jìn)行測(cè)試時(shí)，直接就開(kāi)始嘗試破解密碼將是一個(gè)很大的錯(cuò)誤。無(wú)論你是在本地還是通過(guò)互聯(lián)網(wǎng)進(jìn)行測(cè)試，我都強(qiáng)烈建議你獲得權(quán)限，并建議一個(gè)帳戶(hù)被鎖定后的回滾方案。最后你要做的就是確保在賬戶(hù)被鎖定時(shí)，數(shù)據(jù)庫(kù)用戶(hù)無(wú)法進(jìn)行操作，而且與之相連的應(yīng)用程序也將無(wú)法正常運(yùn)行。
通過(guò)互聯(lián)網(wǎng)，密碼仍然是安全的
對(duì)于通過(guò)混合方式實(shí)現(xiàn)的SQL Server，你可以很容易的通過(guò)一些分析軟件(比如OmniPeek、Ethereal)立刻從網(wǎng)上抓到它的密碼。同時(shí)，Cain and Abel可以用來(lái)抓取基于TDS的密碼。你可能以為通過(guò)內(nèi)網(wǎng)交換機(jī)就可以避免這一問(wèn)題?然而，Cain的ARP中毒路由功能就可以很輕松的破解它。在大約一分鐘之內(nèi)，這個(gè)免費(fèi)軟件就可以攻破你的交換機(jī)，并看到本地網(wǎng)絡(luò)的內(nèi)部數(shù)據(jù)交換，從而幫助其它軟件更容易的抓取密碼。
事實(shí)上，問(wèn)題并沒(méi)有就此結(jié)束。有些誤解認(rèn)為在SQL Server中使用Windows身份驗(yàn)證是很安全的。然而，事實(shí)并非如此。上述軟件同樣可以迅速的從網(wǎng)上抓到Windows、Web、電子郵件等相關(guān)的密碼，從而獲得SQL Server的訪(fǎng)問(wèn)權(quán)限。
通過(guò)使用密碼政策，我們就可以不用測(cè)試密碼
無(wú)論你的密碼政策有多嚴(yán)厲，卻總會(huì)有一些辦法可以繞開(kāi)它。比如現(xiàn)在有一個(gè)未進(jìn)行配置的服務(wù)器、一個(gè)Windows域外的主機(jī)、一個(gè)未知的SQL Server或者一些特殊的工具，它們可以破解最強(qiáng)壯的密碼。這些東西就可以利用你密碼的弱點(diǎn)并是你的代碼政策變得無(wú)效
另外，同樣重要的是，有些測(cè)試結(jié)果可能會(huì)說(shuō)由于你的密碼已經(jīng)非常強(qiáng)壯，你的數(shù)據(jù)庫(kù)很安全，但你千萬(wàn)不要輕信。一定要自己在測(cè)試并驗(yàn)證一下，密碼缺陷是否還在。盡管你可能會(huì)覺(jué)得一切都很好，但實(shí)際上你可能落掉了一些東西。
既然SQL Server密碼是不可重獲的，那如果我知道他很強(qiáng)壯、很安全，我有為什么要破解他呢?
事實(shí)上，SQL Server的密碼是可以重獲的。在SQL Server 7和SQL Server 2000中，你可以使用像Cain and Abel或者收費(fèi)的NGSSQLCrack這種工具來(lái)獲得密碼哈希表，而后通過(guò)暴力對(duì)其破解進(jìn)行攻擊。這些工具使你可以對(duì)SQL Server密碼SHA哈希表進(jìn)行反向工程。盡管破解的結(jié)果并不能夠保證，但它確實(shí)是SQL Server的一個(gè)弱點(diǎn)。
我使用MBSA檢查過(guò)SQL Server密碼的缺陷，并沒(méi)有發(fā)現(xiàn)什么嚴(yán)重的問(wèn)題
Microsoft Baseline Security Analyzer是一個(gè)用來(lái)根除SQL Server弱點(diǎn)的工具，但他并不完善，特別是在密碼破解方面。對(duì)于深層的SQL Server和Windows密碼破解，我們需要使用第三方軟件，如免費(fèi)的SQLat和SQLninja(可以在SQLPing 3中找到)和Windows密碼破解工具，如ElcomSoft's Proactive Password Auditor和Ophcrack。
此外，使用在SQL Server中使用Windows身份驗(yàn)證并不表示你的密碼就是安全的。一些人只要了解如何破解Windows密碼，在花一些時(shí)間，就可以破解你的密碼并控制整個(gè)網(wǎng)絡(luò)。特別是，如果他們使用<>Ophcrack's LiveCD來(lái)攻擊一個(gè)物理上不安全的Windows主機(jī)，比如筆記本電腦或者易可達(dá)的服務(wù)器，那將變得更加容易。
你只需擔(dān)心你主數(shù)據(jù)庫(kù)服務(wù)器
我們很容易把關(guān)注點(diǎn)集中在自己的SQL Server系統(tǒng)上，而忽略了網(wǎng)絡(luò)中可能有的MSDE、SQL Serve Express和其它一些可能的SQL Server程序。這些系統(tǒng)可能正在使用不安全的默認(rèn)設(shè)置，甚至根本就沒(méi)有密碼。通過(guò)使用SQLPing 3這樣的工具來(lái)對(duì)數(shù)據(jù)庫(kù)服務(wù)器上的這些系統(tǒng)進(jìn)行攻擊，你將很容易地被破解。 本新聞共 2頁(yè),當(dāng)前在第 1頁(yè) 1 2 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
