黑客攻破SQL服务器系统的十种方法
无论是利用手工试探照旧利用宁静测试工具，恶意攻击者总是利用各种诡计从你的防火墙内部和内部攻破你的SQL服务器体系。既然黑客在做这样的事变。你也需要实行同样的攻击来查验你的体系的宁静气力。这是天经地义的。下面是黑客拜访和攻破运行SQL服务器的体系的十种诡计。
1.经过互联网直连续接
这些毗连可以用来攻击没有防火墙保护、全世界都可以看到和拜访的SQL服务器。DShield公司的端口报告表现了有几多体系在那边等候遭受攻击。我不睬解允许从互联网间接拜访这种紧张的服务器的理由是什么。但是，我在我的评料中仍发明了这种宁静漏洞。我们都记得SQL Slammer蠕虫对那样多的有漏洞的SQL服务器体系造成的影响。而且，这些间接的攻击能够导致回绝服务攻击、缓存溢出和其它攻击。
2.宁静漏洞扫描
宁静漏洞扫描通常可以基本的操纵体系、网络应用程序大概数据库体系自己的缺点。从没有利用SQL宁静补丁、互联网信息服务(IIS)设置缺点到SNMP(简单网络管理协议)漏洞等任何事变都能够被攻击者发明，并且导致数据库被攻破。这些好人也需利用开源软件、自己制造的工具软件大概贸易性工具软件。有些技术妙手甚至能够在命令提示符下实行手工黑客攻击。为了节流时间，我发起利用贸易性的宁静漏洞评价工具，如Qualys公司的QualysGuard(用于普通扫描)、SPI Dynamics公司的WebInspect(用于网络应用程序扫描)和下一代宁静软件公司的“NGSSquirrel for SQL Server”(用于数据库扫描)。这些工具软件很容易利用，提供了最广泛的评价，并且可以提供最佳的结果。
3.列举SQL服务器剖析服务
在UDP端口1434上运行，这能让你发明隐蔽的数据库实例和更深化地探查这个体系。Chip Andrews的“SQLPing v 2.5”是一个极好的工具，可用来查看SQL服务器体系并且确定版本编号。你的数据库实例纵然不监听这个默许的端口，这个工具软件也能发挥作用。此外，当太过长的SQL服务器恳求发送到UDP端口1434的播送地址的时间，会呈现缓存溢出题目。
4.破解SA口令
攻击者还可以经过破解SA口令的要领进入SQL服务器数据库。遗憾的是，在很多环境下不需要破解口令，由于没有分配口令。因此，可以利用下面提到的一种小工具SQLPing。Application宁静公司的AppDetective和NGS软件公司的NGSSQLCrack等贸易性工具软件也有这种功能。
5.间接利用宁静漏洞攻击
利用表现的Metasploit等工具软件可以间接实行攻击。这种软件的贸易性软件“CANVAS”和“CORE IMPACT”等能够利用在正常的宁静漏洞扫描历程中发明的宁静漏洞实行攻击。这黑白常有用的攻击手段，攻击者可利用这种手段打破体系、从事代码注入大概取得非经受权的命令行拜访权限。
6.SQL注入
SQL注入攻击可以经过没有精确验证用户输出的前端网络应用程序实行。包括SQL指令在内的十分的SQL盘问可以间接注入到网络URL(统一资源定位符)中，并且前往一些错误通知，执行一些指令等等。要是你偶然间的话，这些攻击可以手工实行。我一旦发明一个服务器有一个潜在的SQL注入宁静漏洞，我喜欢利用一种主动的工具深化研究这个漏洞。
7.SQL盲注攻击
这些攻击以标准的SQL注入攻击相同的基本方式利用网络应用程序和后端SQL服务器的宁静漏洞。最大的区别是攻击者收不到以错误通知形式从网络服务器发回的信息。这种攻击由于涉及到猜口令，速度要比标准的SQL注入攻击慢一些。在这种环境下，你需要一种比较好的工具。
8.对体系实行逆向工程
逆向工程的要领可以查找软件的宁静漏洞和内存破坏缺点等漏洞。在利用软件宁静漏洞方面，可以参考Greg Hoglund和Gary McGraw合著的“如何破解代码”一书，你可以发明有关逆向工程要领的一些讨论。
9.Google hacks
Google hacks利用Google搜索引擎不同寻常的力量搜出可公开拜访的体系泄漏出来的SQL服务器的错误，如“Incorrect syntax near”(相近语法错误)。Johnny Long编写的“Google Hacking Database”数据库中一些Google的盘问项目。(查看错误信息和包罗口令的文件部门)。黑客能够利用Google找到口令、网络服务器中的宁静漏洞、基本的操纵体系、公开提供的程序以及其它能够用来攻破SQL服务器体系的工具。经过Google网站的“site:”操纵符把这些盘问联合在一起同场可以发明你想不到能够找到的工具。
10.熟读网站源代码
源代码还能够袒露可能导致SQL服务器被攻破的信息。分外是开发人员为了简化身份辨认历程把SQL服务器身份辨认信息存储在ASP剧本中的环境下更是云云。手工评价大概Google能够在一刹时就发明这个信息。
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
