所謂黑客就是利用系統(tǒng)安全漏洞對(duì)網(wǎng)絡(luò)進(jìn)行攻擊和破壞，惡意的黑客可以利用非常簡(jiǎn)單的攻擊方法進(jìn)入數(shù)據(jù)庫，接下來，我們就一起跟隨我們鄭州北大青鳥的網(wǎng)絡(luò)專家來看一下，黑客是如何入侵?jǐn)?shù)據(jù)庫的？企業(yè)如何阻止這種攻擊？
1.對(duì)弱口令或默認(rèn)用戶名/口令的破解
有時(shí)企業(yè)只能保障關(guān)鍵數(shù)據(jù)庫的安全，其它的就不太安全了�，F(xiàn)在，較新的數(shù)據(jù)庫強(qiáng)制使你在安裝時(shí)改變系統(tǒng)管理員賬戶的默認(rèn)口令。但較老的數(shù)據(jù)庫版本可能存在著問題，但即使是唯一的、非默認(rèn)的數(shù)據(jù)庫口令也是不安全的。通過強(qiáng)力破解或只試著用不同的組合就可以輕易地找到這種口令。保護(hù)自己免受口令攻擊的最佳方法：避免使用默認(rèn)口令，建立強(qiáng)健的口令管理程序并對(duì)口令經(jīng)常改變。
2.特權(quán)提升
特權(quán)提升通常更多地與錯(cuò)誤的配置有關(guān)：一個(gè)用戶被錯(cuò)誤地授與了超過其實(shí)際需要用來完成工作的、對(duì)數(shù)據(jù)庫及其相關(guān)應(yīng)用程序的訪問和特權(quán)。一個(gè)非特權(quán)用戶可以試著連接到數(shù)據(jù)庫，只要他可以訪問一個(gè)系統(tǒng)，如CRM，他就可以用同樣的口令通過檢查，即使他沒有獲得此數(shù)據(jù)庫的授權(quán)。有些控制并沒有實(shí)現(xiàn)很好的集中化。
3.利用未用的和不需要的數(shù)據(jù)庫服務(wù)和功能中的漏洞
監(jiān)聽程序可以搜索出到達(dá)Oracle數(shù)據(jù)庫的網(wǎng)絡(luò)連接，并可以轉(zhuǎn)發(fā)此連接，這樣一來就會(huì)將用戶和數(shù)據(jù)庫的鏈接暴露出來。只需采用一些Google hacking攻擊，一位攻擊者就可以搜索并找到數(shù)據(jù)庫服務(wù)上暴露的監(jiān)聽程序。關(guān)鍵是要保持?jǐn)?shù)據(jù)庫特性的精簡(jiǎn)，僅安裝你必須使用的內(nèi)容。別的東西一概不要。Markovich說，“任何特性都可被用來對(duì)付你，因此只安裝你所需要的。如果你并沒有部署一種特性，你就不需要以后為它打補(bǔ)丁。”
4.針對(duì)未打補(bǔ)丁的數(shù)據(jù)庫漏洞
這些數(shù)據(jù)庫并沒有打補(bǔ)丁，如果一個(gè)黑客能夠比較版本，并精確地找出漏洞在什么地方，那么，他就可以跟蹤這個(gè)數(shù)據(jù)庫。而且一些黑客站點(diǎn)將一些已知的數(shù)據(jù)庫漏洞的利用腳本發(fā)布了出來，即使跟得上補(bǔ)丁周期有極大困難，單位也應(yīng)當(dāng)打補(bǔ)丁。這些和其它的補(bǔ)丁都不應(yīng)當(dāng)?shù)粢暂p心。每一個(gè)問題都能夠破壞你的數(shù)據(jù)庫。
5.SQL注入
除客戶端之外，Web應(yīng)用程序是最脆弱的環(huán)節(jié)。有些情況下，如果攻擊者得到一個(gè)要求輸入用戶名和口令的應(yīng)用程序的屏幕，而且應(yīng)用程序并不檢查登錄的內(nèi)容的話，他所需要做的就是提供一個(gè)SQL語句或者數(shù)據(jù)庫命令，并直接轉(zhuǎn)向數(shù)據(jù)庫。從Web應(yīng)用程序到數(shù)據(jù)庫兩個(gè)方面都可以實(shí)施SQL注入式攻擊，而且可以從數(shù)據(jù)庫內(nèi)部實(shí)施。但有一些程序設(shè)計(jì)方法可有助于防止應(yīng)用程序中的SQL注入攻擊漏洞，如使用所謂的綁定變量(bind variable)或者使用參數(shù)進(jìn)行查詢等。另外一種方法是避免顯示某些數(shù)據(jù)庫錯(cuò)誤消息,目的是避免將可能敏感的信息透露給潛在的攻擊者。
6.竊取(未加密的)備份磁帶
如果備份磁帶在運(yùn)輸或倉儲(chǔ)過程中丟失，而這些磁帶上的數(shù)據(jù)庫數(shù)據(jù)又沒有加密的話，一旦它落于罪惡之手，這時(shí)黑客根本不需要接觸網(wǎng)絡(luò)就可以實(shí)施破壞。只要被竊取的或沒有加密的磁帶不是某種Informix或HP-UX 上的DB2等較老的版本，黑客們需要做的只是安裝好磁帶，然后他們就會(huì)獲得數(shù)據(jù)庫。
以上就是平時(shí)我們最為常見的黑客入侵?jǐn)?shù)據(jù)庫的六大慣用伎倆，如果你想成為“黑客”的對(duì)手，成為一名專業(yè)的網(wǎng)絡(luò)安全工程師，那么就來鄭州北大青鳥翔天信鴿網(wǎng)絡(luò)工程師培訓(xùn)學(xué)校參加培訓(xùn)學(xué)習(xí)吧！
網(wǎng)上報(bào)名：http://m.customercarejob.com/baoming.html
QQ在線咨詢：1140956478
學(xué)校當(dāng)面咨詢地址：鄭州市文化路與農(nóng)業(yè)路交叉口，金國商廈15樓
