Qu’est-ce qu’une base de données MDB ? Tout administrateur réseau ayant une certaine expérience en production de sites web sait que la combinaison « IIS+ASP+ACCESS » est la manière la plus populaire de construire un site web, et la plupart des petits et moyens sites Internet utilisent ce « package », mais les problèmes de sécurité qui l’accompagnent deviennent de plus en plus évidents. L’un des plus vulnérables aux attaquants est le téléchargement illégal de la base de données MDB.
Tant que l’intrus devine ou scanne le chemin vers la base de données mdb, vous pouvez facilement le télécharger sur le disque dur local via un outil de téléchargement, puis le combiner avec des outils de craquage par force brute ou des outils de super-craquage pour accéder facilement au contenu des fichiers de base de données à l’intérieur, et la confidentialité de l’entreprise ainsi que le mot de passe des employés ne sont plus sûrs. Ne pouvons-nous pas renforcer la sécurité de la base de données MDB ? Même si nous n’avons que peu de données, il faut poser problème avec sqlserver ouOracleVraiment? La réponse est non, dans cet article, l’auteur vous révélera le secret unique pour créer un fichier de base de données MDB sécurisé.
1. Causes de la crise :
En général, l’extension de la base de données des programmes web et des forums construits sur ASP est mdb par défaut, ce qui est très dangereux. Vous pouvez facilement télécharger le fichier en devinant l’emplacement du fichier de base de données et en entrant son URL dans la barre d’adresses du navigateur. Même si nous ajoutons un mot de passe à la base de données et que le mot de passe de l’administrateur est également chiffré par MD5, il est facile de le craquer après l’avoir téléchargé localement. Après tout, MD5 peut déjà être fissuré par la violence. Ainsi, tant que la base de données est téléchargée, elle n’est pas du tout sécurisée.
2. Méthodes de traitement couramment utilisées :
Actuellement, plusieurs méthodes couramment utilisées existent pour prévenir le téléchargement illégal de fichiers de bases de données.
(1) Modifier le nom de la base de données et la placer dans un répertoire profond. Par exemple, changer le nom de la base de données en Sj6gf5.mdb et le placer dans un répertoire multi-niveaux rend difficile pour un attaquant de deviner simplement l’emplacement de la base de données. Bien sûr, l’inconvénient est que si le fichier de code ASP est divulgué, il est inutile, peu importe à quel point il est caché.
(2) Modifier l’extension de la base de données en ASP ou ASA et d’autres noms qui n’affectent pas la requête des données. Mais parfois, il peut encore être téléchargé après l’avoir changé en ASP ou ASA, par exemple, après l’avoir changé en ASP, nous entrons directement l’adresse réseau dans la barre d’adresses d’IE, bien qu’il n’y ait pas d’invite à télécharger, mais un grand nombre de caractères brouillés apparaissent dans le navigateur. Si vous utilisez un outil de téléchargement professionnel comme FlashGet ou Video Conveyor, vous pouvez télécharger directement le fichier de la base de données. Cependant, cette méthode présente une certaine cécité, car l’intrus ne peut pas garantir que le fichier est nécessairement un fichier avec une extension de modification de fichier MDB, mais pour ceux qui ont assez d’énergie et de temps, ils peuvent télécharger tous les fichiers et modifier l’extension pour deviner. Le niveau de protection de cette méthode sera considérablement réduit.
3. La porte latérale de l’auteur :
Lors du test de l’auteur, j’ai rencontré le problème que les fichiers ASP et ASA seraient également téléchargés, alors j’ai trouvé la méthode suivante après mes recherches.
Si vous nommez le fichier de base de données « #admin.asa » lors du nom, vous pouvez complètement éviter de le télécharger avec IE, mais si le vandale devine le chemin de la base de données, vous pouvez quand même le télécharger avec succès avec FlashGet, puis renommer le fichier téléchargé en « admin.mdb », alors le secret du site web sera exposé. Nous devons donc trouver un moyen de faire en sorte que FlashGet ne se télécharge pas, mais comment le rendre intéléchargeable ? Probablement à cause de vulnérabilités Unicode antérieures, les sites web ne traitent pas les liens contenant du code Unicode. Nous pouvons donc utiliser l’encodage unicode (par exemple, nous pouvons utiliser « %3C » au lieu de « < », etc.) pour atteindre nos objectifs. Cependant, lorsque FlashGet traite des liens contenant du code unicode, il effectue « intelligemment » le traitement correspondant de l’encodage unicode, comme convertir automatiquement la forme d’encodage unicode de « %29 » en ( », donc vous soumettez un lien de téléchargement http://127.0.0.1/xweb/data/%29xadminsxx.mdb à FlashGet, mais il l’interprète comme http : // 127.0.0.1/xweb/data/(xadminsxx.mdb, regarde où nous avons l’URL ci-dessus et l’endroit renommé en dessous, FlashGet interprète « %29xadminsxx.mdb » comme « (xadminsxx.mdb », et quand on clique sur le bouton « OK » pour télécharger, il cherche un fichier appelé « (xadminsxx.mdb ». C’est-à-dire que FlashGet nous fait nous informer de la perte, et bien sûr il ne le trouve pas, donc l’invite échoue.
Cependant, si le téléchargement échoue, l’attaquant voudra certainement agirautreméthode d’attaque. À partir de là, nous pouvons utiliser une autre méthode de prévention, puisque FlashGet va chercher le fichier appelé « (xadminsxx.mdb », nous pouvons en préparer un, nous créons une base de données simulée appelée « (xadminsxx.mdb », de sorte que lorsque l’intrus veut télécharger le fichier, il retélécharge une base de données, mais que le fichier soit faux ou vide, quand il se réjouit secrètement, En fait, la victoire finale est la nôtre.
Résumé :
Grâce à cette introduction de la méthode de protection des fichiers de base de données MDB, nous pouvons clarifier deux mesures de sécurité : l’une est la méthode confuse, c’est-à-dire modifier ce que le pirate souhaite obtenir, comme changer le nom ou l’extension du fichier MDB ; La seconde est la méthode alternative, c’est-à-dire cacher ce que le pirate veut obtenir et le remplacer par quelque chose qui n’a aucun sens pratique, de sorte que même si le pirate réussit à envahir, il obtient une fausse information, et il pense que l’intrusion est réussie et arrête la prochaine attaque.
|
|
Publié sur 26/11/2014 15:46:39
|
|
|
Publié sur 22/10/2017 14:15:09
|
