¿Qué es una base de datos MDB? Cualquier administrador de red con algo de experiencia en producción web sabe que la combinación de "IIS+ASP+ACCESS" es la forma más popular de construir un sitio web, y la mayoría de los sitios web pequeños y medianos de Internet usan este "paquete", pero los problemas de seguridad que conlleva son cada vez más evidentes. Uno de los más vulnerables a los atacantes es la descarga ilegal de la base de datos MDB.
Mientras el intruso adivine o escanee la ruta hacia la base de datos mdb, puedes descargarla fácilmente al disco duro local usando una herramienta de descarga, y luego combinarla con herramientas de descifrado por fuerza bruta o algunas herramientas super-cracking para ver fácilmente el contenido del archivo de base de datos dentro, y la privacidad de la empresa y la contraseña de los empleados dejarán de ser seguras. ¿No podemos reforzar la seguridad de la base de datos MDB? Aunque solo tengamos un poco de datos, tenemos que complicar sqlserver oOráculo¿Lo es? La respuesta es no, en este artículo el autor te contará el secreto único para crear un archivo de base de datos MDB seguro.
1. Causas de la crisis:
En general, la extensión de la base de datos de programas web y foros construidos sobre ASP es mdb por defecto, lo cual es muy peligroso. Puedes descargar fácilmente el archivo adivinando la ubicación del archivo de base de datos e introduciendo su URL en la barra de direcciones del navegador. Incluso si añadimos una contraseña a la base de datos y la contraseña del administrador que está dentro también está cifrada por MD5, es fácil de descifrar tras descargarla localmente. Al fin y al cabo, MD5 ya puede ser descifrado por la violencia. Por lo tanto, mientras la base de datos esté descargada, esta no es segura en absoluto.
2. Métodos de tratamiento más comunes:
Actualmente, existen varios métodos comúnmente utilizados para evitar la descarga ilegal de archivos de bases de datos.
(1) Modificar el nombre de la base de datos y colocarla bajo un directorio profundo. Por ejemplo, cambiar el nombre de la base de datos a Sj6gf5.mdb y colocarlo en un directorio multinivel dificulta que un atacante simplemente adivine la ubicación de la base de datos. Por supuesto, la desventaja es que si se filtra el archivo de código ASP, es inútil por muy profundo que esté oculto.
(2) Cambiar la extensión de la base de datos a ASP o ASA y otros nombres que no afecten a la consulta de datos. Pero a veces aún se puede descargar después de cambiarlo a ASP o ASA, por ejemplo, al cambiarlo a ASP, introducimos directamente la dirección de red en la barra de direcciones de IE, aunque no hay un aviso para descargar, pero aparecen muchos caracteres distorsionados en el navegador. Si utilizas una herramienta profesional de descarga como FlashGet o Video Conveyor, puedes descargar directamente el archivo de la base de datos. Sin embargo, este método tiene cierta ceguera, ya que el intruso no puede asegurar que el archivo sea necesariamente un archivo con una extensión de modificación de archivo de base de datos MDB, pero para aquellos intrusos que tienen suficiente energía y tiempo, pueden descargar todos los archivos y cambiar la extensión para adivinar. El nivel de protección de este método se reducirá considerablemente.
3. La puerta lateral del autor:
Durante la prueba del autor, me encontré con el problema de que también se descargarían archivos ASP y ASA, así que encontré el siguiente método tras investigar.
Si nombras el archivo de base de datos "#admin.asa" al nombrarlo, puedes evitar descargar completamente con IE, pero si el vándalo adivina la ruta de la base de datos, aún puedes descargarlo con éxito con FlashGet y luego renombrar el archivo descargado a "admin.mdb", entonces el secreto del sitio web quedará expuesto. Así que necesitamos encontrar la manera de que FlashGet no se descargue, pero ¿cómo podemos hacer que no se pueda descargar? Probablemente debido a vulnerabilidades unicode anteriores, los sitios web no procesan enlaces que contienen código Unicode. Así que podemos usar codificación unicode (por ejemplo, podemos usar "%3C" en lugar de "<", etc.) para alcanzar nuestros objetivos. Sin embargo, cuando FlashGet procesa enlaces que contienen código unicode, realiza "de forma ingeniosa" el procesamiento correspondiente de la codificación unicode, como convertir automáticamente la forma de codificación unicode de "%29" a (", así que envías un enlace de descarga http://127.0.0.1/xweb/data/%29xadminsxx.mdb a FlashGet, pero lo interpreta como http: // 127.0.0.1/xweb/data/(xadminsxx.mdb, mira dónde tenemos la URL arriba y el lugar renombrado abajo, FlashGet interpreta "%29xadminsxx.mdb" como "(xadminsxx.mdb", y cuando hacemos clic en el botón "OK" para descargar, busca un archivo llamado "(xadminsxx.mdb". Es decir, FlashGet nos introduce a desviarnos, y por supuesto no puede encontrarlo, así que el prompt falla.
Sin embargo, si la descarga falla, el atacante definitivamente querrá actuarOtrométodo de ataque. A partir de esto, podemos usar otro método de prevención, ya que FlashGet busca el archivo llamado "(xadminsxx.mdb", podemos preparar uno para él, creamos una base de datos simulada llamada "(xadminsxx.mdb", de modo que cuando el intruso quiera descargar el archivo, sí descarga una base de datos de nuevo, pero el archivo de base de datos es falso o vacío, cuando secretamente se regocijan, De hecho, la victoria final es nuestra.
Resumen:
A través de esta introducción del método para proteger archivos de bases de datos MDB, podemos aclarar dos medidas de seguridad: una es el método confuso, es decir, cambiar lo que el hacker quiere obtener, como cambiar el nombre del archivo o la extensión del archivo MDB; El segundo es el método alternativo, es decir, ocultar lo que el hacker quiere conseguir y reemplazarlo por algo que no tiene ningún significado práctico, de modo que incluso si el hacker invade con éxito, obtiene una información falsa y piensen que la intrusión ha tenido éxito y detengan el siguiente ataque.
|
|
Publicado en 26/11/2014 15:46:39
|
|
|
Publicado en 22/10/2017 14:15:09
|
