Wat is een MDB-database? Elke netwerkbeheerder met enige ervaring in websiteproductie weet dat de combinatie van "IIS+ASP+ACCESS" de populairste manier is om een website te bouwen, en de meeste kleine en middelgrote internetwebsites gebruiken dit "pakket", maar de beveiligingsproblemen die ermee gepaard gaan worden steeds duidelijker. Een van de meest kwetsbare voor aanvallers is het illegaal downloaden van de MDB-database.
Zolang de indringer het pad naar de mdb-database raadt of scant, kun je het eenvoudig downloaden naar de lokale harde schijf met een downloadtool, en het vervolgens combineren met brute force cracking-tools of enkele super cracking-tools om de inhoud van het databasebestand gemakkelijk te bekijken, en zijn de privacy van het bedrijf en het wachtwoord van medewerkers niet langer veilig. Kunnen we de beveiliging van de MDB-database niet versterken? Zelfs als we maar een klein beetje data hebben, moeten we SQL Server of Schip aanpakkenOrakelIs dat zo? Het antwoord is nee, in dit artikel zal de auteur je het unieke geheim vertellen van het creëren van een veilig MDB-databasebestand.
1. Oorzaken van de crisis:
Over het algemeen is de uitbreiding van de database van websiteprogramma's en forums die op ASP zijn gebouwd standaard mdb, wat erg gevaarlijk is. Je kunt het bestand eenvoudig downloaden door de locatie van het databasebestand te raden en de URL in de adresbalk van de browser in te voeren. Zelfs als we een wachtwoord aan de database toevoegen en het wachtwoord van de beheerder binnenin ook door MD5 wordt versleuteld, is het makkelijk te kraken nadat je het lokaal hebt gedownload. MD5 kan immers al door geweld worden gebarsten. Daarom is de database helemaal niet veilig zolang de database is gedownload.
2. Veelgebruikte remediemethoden:
Op dit moment zijn er verschillende veelgebruikte methoden om illegaal downloaden van databasebestanden te voorkomen.
(1) Wijzig de naam van de database en plaats deze onder een diepe map. Bijvoorbeeld, het wijzigen van de databasenaam naar Sj6gf5.mdb en het plaatsen ervan in een multi-level directory maakt het moeilijk voor een aanvaller om simpelweg de locatie van de database te raden. Natuurlijk is het nadeel hiervan dat als het ASP-codebestand wordt gelekt, het nutteloos is, hoe diep het ook verborgen is.
(2) Verander de extensie van de database naar ASP of ASA en andere namen die de gegevensquery niet beïnvloeden. Maar soms kan het nog steeds worden gedownload nadat het is veranderd naar ASP of ASA, bijvoorbeeld, nadat we het naar ASP hebben veranderd, voeren we direct het netwerkadres in de adresbalk van IE, hoewel er geen prompt is om te downloaden, maar er wel een groot aantal onduidelijke tekens in de browser verschijnen. Als je een professionele downloadtool gebruikt zoals FlashGet of Video Conveyor, kun je het databasebestand direct downloaden. Deze methode kent echter een zekere blindheid; de indringer kan immers niet garanderen dat het bestand per se een bestand is met een MDB-databasewijzigingsextensie, maar voor indringers die genoeg energie en tijd hebben, kunnen ze alle bestanden downloaden en de extensie veranderen om te raden. Het beschermingsniveau van deze methode zal sterk worden verminderd.
3. De zijdeur van de auteur:
Tijdens de test van de auteur kwam ik het probleem tegen dat ASP- en ASA-bestanden ook worden gedownload, dus vond ik na onderzoek de volgende methode.
Als je het databasebestand "#admin.asa" noemt bij het benoemen van het databasebestand, kun je het downloaden met IE volledig vermijden, maar als de vandaal het pad van de database raadt, kun je het nog steeds succesvol downloaden met FlashGet en het gedownloade bestand hernoemen naar "admin.mdb", dan wordt het websitegeheim onthuld. Dus we moeten een manier vinden om FlashGet niet te downloaden, maar hoe kunnen we het ondownloadbaar maken? Waarschijnlijk door eerdere Unicode-kwetsbaarheden verwerken websites geen links met Unicode-code. Dus we kunnen unicode-codering gebruiken (bijvoorbeeld "%3C" in plaats van "<", enz.) om onze doelen te bereiken. Wanneer FlashGet echter links verwerkt met unicode-code, voert het "slim" de bijbehorende verwerking van unicode-codering uit, zoals het automatisch omzetten van de unicode-codering van "%29" naar (", dus je stuurt een http://127.0.0.1/xweb/data/%29xadminsxx.mdb downloadlink naar FlashGet, maar het interpreteert het als http: // 127.0.0.1/xweb/data/(xadminsxx.mdb, kijk waar we de URL hierboven hebben en de hernoemde plek eronder, FlashGet interpreteert "%29xadminsxx.mdb" als "(xadminsxx.mdb", en als we op de "OK"-knop klikken om te downloaden, zoekt het naar een bestand genaamd "(xadminsxx.mdb". Dat wil zeggen, FlashGet laat ons op de proef stellen, en natuurlijk kan het het niet vinden, dus de prompt faalt.
Als de download echter mislukt, zal de aanvaller zeker actie willen ondernemenanderaanvalsmethode. Hieruit kunnen we een andere preventiemethode gebruiken, aangezien FlashGet het bestand genaamd "(xadminsxx.mdb" zoekt, kunnen we er een voorbereiden, we maken een gesimuleerde database genaamd "(xadminsxx.mdb", zodat wanneer de indringer het bestand wil downloaden, hij inderdaad een database terugdownloadt, maar het databasebestand onjuist of leeg is, wanneer hij stiekem juicht, In feite is de uiteindelijke overwinning van ons.
Samenvatting:
Door deze introductie van de methode om MDB-databasebestanden te beschermen, kunnen we twee beveiligingsmaatregelen verduidelijken: de ene is de verwarrende methode, dat wil zeggen, het veranderen van wat de hacker wil hebben, zoals het wijzigen van de bestandsnaam of extensie van het MDB-bestand; De tweede is de alternatieve methode, namelijk verbergen wat de hacker wil krijgen en dit vervangen door iets dat geen praktische betekenis heeft, zodat zelfs als de hacker succesvol binnendringt, hij valse informatie krijgt en ze denken dat de inbraak succesvol is en de volgende aanval stopt.
|
|
Geplaatst op 26-11-2014 15:46:39
|
|
|
Geplaatst op 22-10-2017 14:15:09