Was ist eine MDB-Datenbank? Jeder Netzwerkadministrator mit Erfahrung in der Website-Erstellung weiß, dass die Kombination aus "IIS+ASP+ACCESS" die beliebteste Art ist, eine Website zu erstellen, und die meisten kleinen und mittelgroßen Internetseiten verwenden dieses "Paket", aber die damit verbundenen Sicherheitsprobleme werden immer offensichtlicher. Eine der anfälligsten Fälle für Angreifer ist das illegale Herunterladen der MDB-Datenbank.
Solange der Eindringling den Weg zur MDB-Datenbank errät oder scannt, können Sie ihn einfach mit einem Download-Tool auf die lokale Festplatte herunterladen und dann mit Brute-Force-Cracking-Tools oder einigen Super-Cracking-Tools kombinieren, um den Inhalt der Datenbankdateien leicht einzusehen, und die Privatsphäre des Unternehmens sowie das Passwort der Mitarbeiter sind nicht mehr sicher. Können wir die Sicherheit der MDB-Datenbank nicht stärken? Selbst wenn wir nur ein wenig Daten haben, müssen wir SQL Server oderOrakelWirklich? Die Antwort lautet nein, in diesem Artikel wird der Autor Ihnen das einzigartige Geheimnis der Erstellung einer sicheren MDB-Datenbankdatei verraten.
1. Ursachen der Krise:
Im Allgemeinen ist die Erweiterung der Datenbank von Website-Programmen und Foren, die auf ASP basieren, standardmäßig mdb, was sehr gefährlich ist. Sie können die Datei einfach herunterladen, indem Sie den Standort der Datenbankdatei erraten und deren URL in die Adressleiste des Browsers eingeben. Selbst wenn wir ein Passwort zur Datenbank hinzufügen und das Passwort des darin enthaltenen Administrators ebenfalls von MD5 verschlüsselt wird, ist es leicht zu knacken, nachdem man es lokal heruntergeladen hat. Schließlich kann MD5 bereits durch Gewalt gebrochen werden. Daher ist die Datenbank überhaupt nicht sicher, solange sie heruntergeladen wird.
2. Häufig verwendete Behandlungsmethoden:
Derzeit gibt es mehrere gängige Methoden, um illegales Herunterladen von Datenbankdateien zu verhindern.
(1) Den Namen der Datenbank ändern und sie in ein tiefes Verzeichnis legen. Zum Beispiel erschwert es einem Angreifer, den Datenbanknamen in Sj6gf5.mdb zu ändern und ihn in ein mehrstufiges Verzeichnis zu legen, einfach den Standort der Datenbank zu erraten. Natürlich ist der Nachteil, dass die ASP-Codedatei, falls sie geleakt wird, nutzlos ist, egal wie tief sie versteckt ist.
(2) Die Erweiterung der Datenbank auf ASP oder ASA und andere Namen ändern, die die Datenanfrage nicht beeinflussen. Aber manchmal kann es nach der Änderung in ASP oder ASA trotzdem heruntergeladen werden, zum Beispiel geben wir nach der Umstellung auf ASP direkt die Netzwerkadresse in die Adressleiste von IE ein, obwohl es keine Eingabeaufforderung zum Download gibt, aber im Browser erscheinen viele undeutliche Zeichen. Wenn Sie ein professionelles Download-Tool wie FlashGet oder Video Conveyor verwenden, können Sie die Datenbankdatei direkt herunterladen. Diese Methode ist jedoch eine gewisse Blindheit verbunden, denn der Eindringling kann nicht sicherstellen, dass die Datei unbedingt eine Datei mit MDB-Datenbank-Dateiänderungserweiterung ist, aber für Eindringlinge, die genug Energie und Zeit haben, können sie alle Dateien herunterladen und die Erweiterung auf Guess ändern. Das Schutzniveau dieser Methode wird stark reduziert.
3. Die Seitentür des Autors:
Während des Autorentests stieß ich auf das Problem, dass auch ASP- und ASA-Dateien heruntergeladen werden, weshalb ich nach Recherche folgende Methode gefunden habe.
Wenn du die Datenbankdatei beim Nennen der Datenbankdatei "#admin.asa" nennst, kannst du sie mit dem Download-Tool komplett vermeiden, aber wenn der Vandal den Pfad der Datenbank errät, kannst du sie trotzdem erfolgreich mit FlashGet herunterladen und die Datei dann in "admin.mdb" umbenennen, wodurch das Website-Geheimnis offengelegt wird. Wir müssen also einen Weg finden, FlashGet nicht herunterzuladen, aber wie können wir es unladbar machen? Wahrscheinlich wegen früherer Unicode-Schwachstellen verarbeiten Webseiten keine Links mit Unicode-Code. Wir können also Unicode-Codierung verwenden (zum Beispiel können wir "%3C" statt "<" usw.) verwenden, um unsere Ziele zu erreichen. Wenn FlashGet jedoch Links mit Unicode-Code verarbeitet, führt es "clever" die entsprechende Verarbeitung der Unicode-Codierung durch, etwa indem man die Unicode-Codierungsform von "%29" automatisch in (", also senden Sie einen http://127.0.0.1/xweb/data/%29xadminsxx.mdb Download-Link zu FlashGet, aber es interpretiert ihn als http: // 127.0.0.1/xweb/data/(xadminsxx.mdb, schau dir an, wo wir oben die URL und den umbenannten Ort unten haben, FlashGet interpretiert "%29xadminsxx.mdb" als "(xadminsxx.mdb", und wenn wir auf die Schaltfläche "OK" klicken, sucht es nach einer Datei namens "(xadminsxx.mdb". Das heißt, FlashGet bringt uns dazu, sich zu verirren, und natürlich findet es es nicht, sodass der Prompt fehlschlägt.
Wenn der Download jedoch fehlschlägt, wird der Angreifer definitiv Maßnahmen ergreifen wollen.andereAngriffsmethode. Daraus können wir eine andere Präventionsmethode verwenden, da FlashGet die Datei namens "(xadminsxx.mdb" findet, können wir eine dafür vorbereiten, wir erstellen eine simulierte Datenbank namens "(xadminsxx.mdb", sodass der Eindringling, wenn er die Datei herunterladen will, eine Datenbank zurücklädt, aber die Datenbankdatei falsch oder leer ist, wenn er heimlich jubelt, Tatsächlich ist der endgültige Sieg unserer.
Zusammenfassung:
Durch diese Einführung der Methode zum Schutz von MDB-Datenbankdateien können wir zwei Sicherheitsmaßnahmen klären: Die eine ist die verwirrende Methode, also die Änderung dessen, was der Hacker erhalten möchte, etwa die Änderung des Dateinamens oder der MDB-Datei-Erweiterung; Die zweite Methode ist die alternative Methode, das heißt, das zu verbergen, was der Hacker erreichen will, und es durch etwas zu ersetzen, das keine praktische Bedeutung hat, sodass selbst wenn der Hacker erfolgreich eindringt, er falsche Informationen erhält und sie denken, dass der Eindringling erfolgreich ist, und der nächste Angriff gestoppt wird.
|
|
Veröffentlicht am 26.11.2014 15:46:39
|
|
|
Veröffentlicht am 22.10.2017 14:15:09
|
