关于SQL SERVER的一些安全问题
2009-05-12 20:21:44来源：未知 阅读 ()
BY XUNDI<安全焦点>
目前关于NT服务器的入侵，有很多种方法，如对IIS的漏洞进行利用，但
大家不知道注意到没有，其实通过与NT服务器相关联的SQL数据库服务器
的例子也是很有比例的一种手段。大家可以参看下面的一个新闻报道：
http://www.vnunet.com/News/1110938。
Herbless入侵破坏的一些站点，如legoland.co.uk站点就是通过SQL服务器
的入侵而获得对系统的控制权而破坏的。所以对SQL服务器的保护是必不可
少的，这里我整理了一些漏洞供大家来参考，见笑，见笑。
----------------------------------------------------------------
我们先来看看SQL服务程序支持的网络协议库:
----------------------------------------------------------------
| SQL Server Network Protocol Libraries |
----------------------------------------------------------------
|Protocol library| 可能存在的漏洞 | 是否加密 |
----------------------------------------------------------------
|Named pipes | --使用NT SMB端口(TCP139,UDP137, | 否 |
|(有名管道) | 138）来进行通信，这些可以被通 | |
| | 的防火墙控制，但如果内部网络可| |
| | 随意访问的话也是一个不小的缺陷| |
| | --用户名字，密码和数据没有进行加| |
| | 传输，任何人可以通过SNIFFER来 | |
| | 进行数据捕获。 | |
----------------------------------------------------------------
|IP Sockets | --默认状态下开1433口，你可以使用| 否 |
| | 扫描器来查看这个端口。 | |
| | 可以被SNIFFER截获数据。 | |
----------------------------------------------------------------
|Multi-Protocol | --客户端需要支持NT RPCs;在不同 | 是 |
| | 种类的环境中可能引起问题。 | |
| | --默认情况下使用TCP随机端口，但| |
| | 防火墙进行端口图固定实现（参 | |
| | 看KB Q164667）。 | |
| | --需要注意加密选项是否选择，默 | |
| | 是不选择此选项的。 | |
----------------------------------------------------------------
|NWLink | --存在被SNIFFER截获数据的危险 | 否 |
----------------------------------------------------------------
|AppleTalk (ADSP)| --存在被SNIFFER截获数据的危险 | 否 |
----------------------------------------------------------------
|Banyan Vines | --存在被SNIFFER截获数据的危险 | 否 |
----------------------------------------------------------------
一般的推荐使用是：如果你能在Integrated (NT) Security上使用Named Pipes 或者
Multi-protocol，那你就使用这些协议库，如果可能，尽量使用Multi-protocol
和使能加密选项。如果你上面几个不能使用，那就使用IP Sockets协议，并改变
其默认的端口并随时检查系统保证无任何SNIFFER存在。并且，考虑使用一WEB服
务或者COM组件作为应用程序的business object layer，并在中间层和SQL服务程
序中使用安全通道(secure channel)。有不少第三方的产品可以加密这方面的通信。
-----------------------------------------------------------------------
下面再讲一下SQL SERVER的各种安全模式和它们怎样进行工作？
安全模式定义了一些SQL SERVER是怎样认证要使用它们服务的用户，请看下面
标签：
版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有
- 从数据行入手保护SQL Server数据安全 2009-05-12
- 数据库安全管理的三个经验分享 2009-05-12
- 解决MySQL 5数据库连接超时问题 2009-05-12
- SQL Server 2008主要功能在兼容性上的问题 2009-05-12
- SQL Server数据库触发器安全隐患解析 2009-05-12
IDC资讯： 主机资讯 注册资讯 托管资讯 vps资讯 网站建设
网站运营： 建站经验 策划盈利 搜索优化 网站推广 免费资源
网络编程： Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术： Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护
软件技巧： 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷
网页制作： FrontPages Dreamweaver Javascript css photoshop fireworks Flash
