Kaj je baza podatkov MDB? Vsak omrežni administrator z nekaj izkušnjami v izdelavi spletnih strani ve, da je kombinacija "IIS+ASP+ACCESS" najbolj priljubljen način za izdelavo spletne strani, in večina majhnih in srednje velikih spletnih strani uporablja ta "paket", vendar so varnostne težave, ki jih prinaša, vse bolj očitne. Ena najbolj ranljivih za napadalce je nezakonit prenos baze podatkov MDB.
Dokler vsiljivec ugiba ali skenira pot do baze podatkov MDB, jo lahko enostavno prenesete na lokalni trdi disk z orodjem za prenos in jo nato združite z orodji za brutalno razbijanje ali kakšnimi super orodji za enostavno ogled vsebine datotek baze podatkov znotraj, zasebnost podjetja in geslo zaposlenih pa nista več varna. Ali ne moremo okrepiti varnosti baze podatkov MDB? Tudi če imamo le malo podatkov, moramo poskrbeti za sqlserver aliOrakeljJe res? Odgovor je ne, v tem članku vam bo avtor razkril edinstveno skrivnost ustvarjanja varne MDB baze podatkov.
1. Vzroki krize:
Na splošno je razširitev baze spletnih programov in forumov, zgrajenih na ASP, privzeto mdb, kar je zelo nevarno. Datoteko lahko enostavno prenesete tako, da ugibate lokacijo baze podatkov in vnesete njen URL v naslovno vrstico brskalnika. Tudi če dodamo geslo v bazo podatkov in je geslo skrbnika znotraj tudi šifrirano z MD5, je enostavno razbiti po lokalnem prenosu. Navsezadnje se MD5 že lahko razbije z nasiljem. Zato, dokler je podatkovna baza prenesena, baza podatkov sploh ni varna.
2. Pogosto uporabljene metode zdravljenja:
Trenutno obstaja več pogosto uporabljenih metod za preprečevanje nezakonitega prenosa podatkovnih datotek.
(1) Spremenite ime baze podatkov in ga postavite pod globok imenik. Na primer, sprememba imena baze podatkov v Sj6gf5.mdb in njena namestitev v večnivojsko mapo otežuje napadalcu, da preprosto ugane lokacijo baze podatkov. Seveda pa je slabost tega v tem, da je datoteka ASP kode razkrita, neuporabna, ne glede na to, kako globoko je skrita.
(2) Spremeniti razširitev baze podatkov v ASP ali ASA in druga imena, ki ne vplivajo na podatkovno poizvedbo. Včasih pa ga je mogoče še vedno prenesti tudi po spremembi v ASP ali ASA, na primer, ko ga spremenimo v ASP, neposredno vnesemo omrežni naslov v naslovno vrstico IE, čeprav ni poziva za prenos, vendar se v brskalniku pojavi veliko popačenih znakov. Če uporabljate profesionalno orodje za prenos, kot sta FlashGet ali Video Conveyor, lahko neposredno prenesete datoteko baze podatkov. Vendar pa ima ta metoda določeno slepoto, saj vsiljivec ne more zagotoviti, da je datoteka nujno datoteka z MDB razpono za spreminjanje datoteke, medtem ko lahko tisti, ki imajo dovolj energije in časa, prenesejo vse datoteke in spremenijo končnico na ugibanje. Raven zaščite te metode bo močno zmanjšana.
3. Stranska vrata avtorja:
Med avtorjevim testom sem naletel na težavo, da se prenesejo tudi datoteke ASP in ASA, zato sem po raziskavi našel naslednjo metodo.
Če datoteko podatkovne baze poimenujete "#admin.asa" pri poimenovanju datoteke, se lahko popolnoma izognete prenosu z IE, vendar če vandal ugane pot baze podatkov, jo lahko še vedno uspešno prenesete s FlashGetom in nato preneseno datoteko preimenujete v "admin.mdb", potem bo skrivnost spletne strani razkrita. Torej moramo najti način, da FlashGet ne bo prenosljiv, ampak kako ga narediti neprenosljivega? Verjetno zaradi prejšnjih ranljivosti Unicode spletne strani ne obdelujejo povezav, ki vsebujejo Unicode kodo. Torej lahko uporabimo Unicode kodiranje (na primer, lahko uporabimo "%3C" namesto "<" itd.) za dosego naših ciljev. Vendar pa, ko FlashGet obdeluje povezave, ki vsebujejo unicode kodo, "pametno" opravi ustrezno obdelavo unicode kodiranja, na primer samodejno pretvori obliko unicode kodiranja "%29" v (", torej pošlješ povezavo za prenos http://127.0.0.1/xweb/data/%29xadminsxx.mdb FlashGetu, a jo interpretira kot http: // 127.0.0.1/xweb/data/(xadminsxx.mdb, poglejte, kje imamo URL zgoraj in preimenovano mesto spodaj, FlashGet interpretira "%29xadminsxx.mdb" kot "(xadminsxx.mdb", in ko kliknemo gumb "OK" za prenos, išče datoteko z imenom "(xadminsxx.mdb". To pomeni, da nas FlashGet predstavi, da gremo na napačno pot, a seveda tega ne najde, zato poziv ne uspe.
Če pa prenos ne uspe, bo napadalec zagotovo želel ukrepatidrugiMetoda napada. Iz tega lahko uporabimo drugo metodo preprečevanja, saj FlashGet išče datoteko z imenom "(xadminsxx.mdb", lahko jo pripravimo, ustvarimo simulirano bazo podatkov z imenom "(xadminsxx.mdb", tako da ko vsiljivec želi prenesti datoteko, ta prenese nazaj bazo podatkov, vendar je datoteka lažna ali prazna, ko se skrivaj veselijo, Pravzaprav je končna zmaga naša.
Povzetek:
S tem uvedbom metode zaščite datotek baze podatkov MDB lahko pojasnimo dva varnostna ukrepa: eden je zmedena metoda, torej spreminjanje želje hekerja, kot je sprememba imena datoteke ali končnice MDB datoteke; Druga je alternativna metoda, torej skriti, kar heker želi pridobiti, in to zamenjati z nečim, kar nima praktičnega pomena, tako da tudi če heker uspešno vdre, dobi napačne informacije in bodo mislili, da je vdor uspešen ter ustavili naslednji napad.
|
|
Objavljeno na 26. 11. 2014 15:46:39
|
|
|
Objavljeno na 22. 10. 2017 14:15:09
|
