wika 威卡 wika压力表 威卡压力表 wika双金属温度计 威卡双金属温度计 wika压力表 wika压力变送器 wika温度计 威卡压力变送器 威卡温度计 wika 威卡 wika压力表 威卡压力表 wika双金属温度计 威卡双金属温度计 wika压力表 wika压力变送器 wika温度计 威卡压力变送器 威卡温度计 wika 威卡 wika压力表 威卡压力表 wika双金属温度计 威卡双金属温度计 wika压力表 wika压力变送器 wika温度计 威卡压力变送器 威卡温度计 wika 威卡 wika压力表 威卡压力表 wika双金属温度计 威卡双金属温度计 wika压力表 wika压力变送器 wika温度计 威卡压力变送器 威卡温度计 苏珊米勒2011年7月| 易经的奥秘四| 港台电视剧风水世家| 八宝山风水| 店铺风水摆设| 阳宅风水学| 超准算命网| 周公惧流言| 蔡姓男孩取名字大全| 按生辰八字给公司取名| 装饰公司起名| 牛姓宝宝起名字| 女孩属什么属相好| 女巫星座运势| 属相羊那年| 双鱼座别墅| 处女座男vs摩羯座女| 摩羯座女生处女座男生| 招财风水| 建筑风水学教材| 中国风水大师| 阴阳命理| 老黄历结婚| 永祥记貔貅手链| 摩羯座2011年运势| 狮子座叫什么名字| 如何看墓地风水| 风水书| 周易数字测吉凶| 财运图库3d金镶图迷| 91取名软件下载| 台湾风水大师排名| 出纳办公室风水| 招财风水布局| 曾仕强易经的智慧30| 房屋设计风水| 周公解梦梦见脚踩到屎| 生存八字起名| 中国风水算命| 生辰八字测婚姻合不合| 宝宝取名字参考| 周易起名评分| 火锅店取名字大全| 牟姓男宝宝取名| 林武樟阳宅风水| 属兔起名| 天秤座男和处女座女| 风水学院| 风水八卦图| 龙行天下风水论坛| 网上免费批八字算命| 高姓男孩起名| 白水晶貔貅的功效| 属兔婚配| 古代风水书籍| 曾仕强易经的智慧37| 周公解梦梦见输钱| 追求摩羯座女生| 白羊座女巨蟹座男| 风水鱼| 在线免费算命网| 吕祖灵签53签| 1982年属狗2014年运势| 天蝎座明天运程| 搬家风水| 怎样看风水| 房屋风水不好| 学风水看什么书| 风水世家1| 占卜学校| 11
登录 / 注册
IT168网络安全频道
IT168首页 > 网络安全 > 网络安全技术 > 正文

安华金和:数据库攻击原理分析

2018-04-22 00:00    it168网站原创  作者: 厂商投稿 编辑: 宁飞虹
标签:广电局 11 12星座配对指数查询

    【IT168 技术】摘要:本文将通过对SQL注入攻击技术和数据库加密技术原理以及防护效果进行深入的分析,来辨析数据库安全技术误区“数据库加密能解决SQL注入”,同时本文也给出了SQL注入的防护方法。

  1、 数据库安全误区

  针对2015年4月互联网大规模报道的全国30省市社保等行业用户信息泄露事件,安华金和对乌云历史报道的社保行业相关漏洞进行集中分析,得出的结论为:大量的信息泄露主要是由于软件中存在的SQL注入漏洞被黑客利用引起的,我们可以把SQL注入比作黑客攻击数据库“锋利的矛”。

  有了攻击用的矛,我们再来看防守用的盾:数据库加密技术真正实现了敏感数据的加密存储,采用国内外主流的加密算法,确保加密后的数据通过非正常手段获取后十年内难以非法破解,同时通过独立权控、应用绑定,防止绕过合法应用程序的数据库访问和对内部高权限人员的运维操作管控,号称数据库安全中的王冠,我们可以把数据库加密技术比作数据安全防护措施中“坚固的盾”。

  《韩非子·难一》所述的故事中提到:“以子之矛,陷子之盾,何如?”虽然这是个众人皆知的故事,但是现实版的“矛与盾”的故事又发生在大学教材《信息系统安全概论》中,下面我们先引用教材中的原文:

安华金和:数据库攻击原理分析

  对于安全管理员来说,是否可以通过数据库加密来防止SQL注入呢?在详细解释两种攻防技术前,我们对一个误区给予纠正:数据库加密技术无法抵御SQL注入。原因是数据库加密解决信用卡信息存储安全等问题,而SQL注入是利用应用的弱点窃取数据,由于合法应用肯定能看到明文的信息卡数据,因此加密防守无效。

  那SQL注入如何正确防护呢?下面我们先了解下SQL注入攻击的原理。

安华金和:数据库攻击原理分析

  对于安全管理员来说这也是必要的,因为不仅要了解防护的手段,同时也应该深入了解SQL注入的原理,实现有针对性的安全防护。

  2、 SQL注入攻击的原理分析

  SQL注入数据库攻击指构建特殊的输入作为参数传入Web应用程序,比如通过提交表单的文本框输入,而这些输入大都是SQL语法里的一些组合,通过执行SQL语句进而执行攻击者所要的操作,其主要原因是程序没有细致地过滤用户输入的数据,致使非法数据侵入系统。

  常见的SQL注入案例有两种情况,一种是伪装登录应用系统,另一种是在有登录账号的情况下,在应用系统后续的提交表单的文本框中找到SQL注入点,然后利用注入点批量窃取数据。如下两图的输入:

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

  SQL注入的典型场景一,通过伪装登录窃取数据,主要是通过or运算符。

  · 窃取数据

  假设后台的拼接语句为select * from table where column1=‘ 文本框输入值’ ;

  Eg1: 如输入值为《abc ’ or ‘1’=‘1》, 则语句拼接为 select *…where column1=‘abc’ or ‘1’=‘1’;由于’1’=‘1’是恒真,则该可以看到了整表的全部数据。

  · 骗取登录

  一般系统的登录需要输入用户名、密码;后台拼接的语句为select * from t where name=‘用户名’ and pwd=md5(‘密码’);

  Eg1: 如输入用户名《abc ’ or 1=1 or 1=‘ def》,密码《abcd》则语句拼接为:

  select …where name=‘abc’ or 1=1 or 1=‘def’ and pwd = md5(‘abcd’); 由于1=1是恒真,则该语句永远为真,可以成功登录了。

  SQL 注入典型场景二,探测(通过and 运算)。

  · 探测系统变量

  … and user>0

  我们知道,user是SQLServer的一个内置变量,它的值是当前连接的用户名,类型为nvarchar。拿一个 nvarchar的值跟int的数0比较,系统会先试图将nvarchar的值转成int型,当然,转的过程中肯定会出错,SQLServer的出错提示是:将nvarchar转换int异常,XXXX不能转换成int。

  · 探测系统对象名

  先猜表名

  … and (Select count(*) from 表名)<>0

  猜列名

  … and (Select count(列名) from 表名)<>0

  3、 数据库加密防护效果分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

安华金和:数据库攻击原理分析

  数据库加密防护总结:

安华金和:数据库攻击原理分析

  4、 结论:SQL注入如何防护

安华金和:数据库攻击原理分析

  卡尔的SQL注入攻击就是利用合法应用的弱点获取信息卡资料的,即使数据库信用卡信息加密了,从存储文件上看是密文,但是对于合法应用发过来的查询语句,数据库也必然解密后将明文数据发回web应用系统。

  数据库安全专家安华金和建议通过WAF和数据库防火墙相结合来实现SQL注入的有效防护。WAF通过黑名单机制针对有SQL注入特征的表单内容进行拦截,数据库防火墙通过构建合法应用的行为模型和SQL注入特征库实现SQL注入行为的有效拦截,同时还能够对运维终端的恶意操作进行拦截。

标签: 安华金和
编辑推荐
系统架构师大会
系统架构师大会
点击或扫描关注
IT168企业级微信关注送礼
IT168企业级微信关注送礼
扫描关注
首页 评论 返回顶部
易经噩梦 如何增加自己的偏财运 建筑风水学 中国周易取名网 巨蟹座5月份的运势
麻日乡 宝宝取名字大全姓李 周易生辰八字配对 卧室摆设风水 2014属牛运势 静观镇 宝宝取名案例 新浪起名打分
14 16 17 15 6
风水 动画 小说 新闻网贝亲 旅游 体育 作文 游戏 两性 中国历史 金融 儿童歌曲 科学网 仪器信息网 养生 传感器 宠物 美食 孕妇食谱 快递查询 汽车之家 奇闻异事 算命 婚纱摄影 体育新闻 口才训练 粮食 包包 健康 理财 军事网 旅游 陶瓷 自主招生 通信工程 女装品牌 体育新闻 时尚 股票行情 电影 医疗健康 历史 木桶 女性健康 女人 寺庙 五行 星座 幼儿教育 播音主持 今日头条 化妆品
塑木 耐震压力表 生物质锅炉 铠装热电偶 防爆电机 有机玻璃管 亚克力管 除尘布袋 医院设计 双金属复合管 武汉注册公司 自吸泵 剪板机 铝板 杭州公司注册 亮化工程 遮阳棚 模拟屏 潜水泵 杭州防水公司 固态调压器 安全锁具 工业除湿机 肯德基门 杭州地暖 智慧城市 热转印封边机 进出口贸易公司 倾角传感器 月子中心加盟 北京婚礼策划 西安网站建设 流水线 除湿机 不干胶标签 候车亭 板材模具 气相色谱仪 液体静电喷枪 沥青木丝板 游艺机 葡萄牙移民 康复器材 托辊 冒菜加盟 风刀 一体化泵站 焊烟净化器 apc ups电源 麻辣烫加盟 流量计 阿特拉斯空压机 游乐设备 西安网站建设 滤带 压滤机 拉力机 潜水搅拌机 朝鲜旅游 武汉APP开发 乐高加盟 高温烘箱 杭州画室 计量泵 杭州园林绿化公司 橱柜加盟 折弯机模具 沙画培训 杭州注册公司 污水处理 离心机 杭州刑事律师 重庆仿木栏杆 滤布 量热仪 花纹铝板 成都公司注册 生产线 地源热泵 PET膜 尿碘 康复设备 商标转让 压滤机 商标注册 抛丸机 薄型千斤顶 转子泵 膜结构 工业除湿机 太阳能路灯 vr教育 伺服驱动器 冒菜加盟 串串加盟 瑜伽服 表面张力仪 广州婚纱摄影 废旧电缆回收 防火卷帘门 自动感应门 风水 动画 小说 新闻网贝亲 旅游 体育 作文 游戏 两性 中国历史 金融 儿童歌曲 科学网 仪器信息网 养生 传感器 宠物 美食 孕妇食谱 快递查询 汽车之家 奇闻异事 算命 婚纱摄影 体育新闻 口才训练 粮食 包包 健康 理财 军事网 旅游 陶瓷 自主招生 通信工程 女装品牌 体育新闻 时尚 股票行情 电影 医疗健康 历史 木桶 女性健康 女人 寺庙 五行 星座 幼儿教育 播音主持 今日头条 化妆品 画面分割器 合肥注册公司 飞艇 机械加工 输送链条 Wika压力表 wika压力表 wika压力表 wika压力表 wika压力表 广告机 铝板 回收IC 不锈钢厚板 扒渣机 海报架 抗震支架 医院设计 门窗加盟 转轮除湿机 仓储笼 提升机 不锈钢水箱 离心机 剪板机 高楼清洗机器人 电伴热带 健身教练培训 红色旅游 聚合支付 远传水表 天然气锅炉 罗斯蒙特压力变送器 特种电缆厂家 双层玻璃反应釜 色母粒 玻璃钢格栅板 控制电缆 微信投票 恒功率电伴热带 磁翻板液位厂家 波音软片 德国阳光蓄电池 项目管理培训 上海自动化仪表四厂 铠装热电偶 肚皮舞教练培训 工业热电阻 期货配资 流水线 南京职称 硅藻泥 消防车卷帘门 制香机械 吹瓶机 油站运营 密度计生产厂家 西安塑胶跑道 tpep防腐钢管 激光灯 麻辣烫 杭州画室 雨伞 LED调光电源 不锈钢压力表 LED电源厂家 亚洲城市大学 搅拌器 电源外壳 在线密度计 固城湖大闸蟹 特种电缆 压滤机 铠装热电偶 深圳办公家具 电热管 棒棒鸡加盟 重庆小面加盟 万州烤鱼加盟 重庆酸辣粉加盟 凉皮加盟 焖锅加盟 特色面食加盟 酸菜鱼加盟 干锅加盟 小龙虾加盟 特色小吃培训 西安小吃培训 大鸡排加盟 米线加盟店 成都小吃加盟 多叶排烟口 在线客服系统 国家公务员考试网 HAWE电磁阀 不锈钢水箱厂家 万能材料试验机 燃气蒸汽发生器 工业冷水机 上海阀门 杭州经典鼎红 声光报警器 指纹锁 除铁器 淋浴房 温室大棚 wika 威卡 wika压力表 威卡压力表 威卡 生物质热风炉 喷丸机 拉面机 环保空调 搅拌站 漆膜测厚仪 武术学校 雾化喷头 厦门美容院 聚氨酯设备 儿童滑梯 硅藻泥 山特ups 超声波液位计 励志名言 游戏网 励志网 散文 不锈钢屏风 水性防锈漆 二维混合机 停车棚 PC板 铝方通 钢绞线 接近开关 深圳工商注册 污泥干化 母线槽 电解抛光 家教网 冷库 竹房子 抛光机 演出 不锈钢冲孔机 紫外线杀菌器 离心机 淋浴房 专业环氧地坪漆 杭州工装装修公司 共享按摩椅 氧气报警器 合肥的装修公司 按摩椅 单机除尘器 CL6NX 儿童游泳馆加盟 小龙虾加盟 双片粘箱机 冷餐会 轻钢房屋 mpp电力管 膜结构 幼儿园悬浮地板 进口阀门品牌 智能型压力变送器 安徽天康股份有限公司 流量计生产厂家 拉丝模 开关柜 宝宝网 月子护理 真空泵 空压机 离心机