程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 數據庫知識 >> Access數據庫 >> 關於Access數據庫 >> 8大措施幫你構築Access安全防線

8大措施幫你構築Access安全防線

編輯:關於Access數據庫

今天下午,低一度博客受到攻擊了,出現了大約一個小時的訪問異常。慶幸的是,這幫無恥歹徒沒能成功獲取我的Access數據庫,而只是象征性地給我注入了一些東西。也不知道他們是怎樣注入的!想想的確不容小視這幫混蛋!不過沒關系,低一度的數據庫目前足夠安全。利用這個“機會”,我們就來談一談這個問題。

大家都知道,Asp程序使用得最多的數據庫類型就是Access,如PJ-Blog、Z-Blog等。這是因為Access數據庫簡單小巧,直接上傳到服務器上就可以用了。盡管簡便,然而Access也有不足之處,其中比較傷腦筋的便是其安全性問題。大部分黑客攻擊此類ASP站點,就是從獲取Access數據庫開始的。所以,怎樣有效防范Access數據庫被惡意下載,成了建站中首當其沖的話題。這裡,低一度結合自己的經驗、實例及一些網上搜羅來的資料,向大家介紹幾種相對有效的防范措施,希望對大家會有幫助(當然,用不著最好)。

防范措施一:將數據庫文件名命名得盡可能地復雜

這是最最偷懶的方法了!所以,這個法子的安全指數也並非最高。若攻擊者通過第三方途徑獲得了數據庫的路徑,你就玩完了。比如說我本來只能拿到list權,結果意外看到了你的數據庫路徑,那我便可冠冕堂皇地把數據庫下載回去研究了。另外,數據文件通常大小都比較大,取再隱蔽的文件名也瞞不了人。呵呵,所以此法我並不提倡。

防范措施二:修改數據庫名後綴為Asa或ASP等格式

這一做法,安全指數相對第一種行為會高一些,但同樣存在著隱患。它必須配合一些必要的設置進行,如:在數據庫文件中加入<%或%>標簽,這樣,IIS才會按ASP語法來解析,然後報告500錯誤,使歹徒無法下載。可是,假如只是簡單地在數據庫的文本或備注字段中加入<%是起不到作用的,因為Access會對其中的內容進行處理,在數據庫裡它會以< %的形式存在,無效哦!正確的方法應該是將<%存入OLE對象字段裡,這樣我們的防范目的才能達到。

操作方法如下: 先用notepad新建一個內容為“<%”的文本文件,然後隨便取個名字存檔。接著,用Access打開你的數據庫文件,新建一個表,隨便取個什麼名字,然後在表中添加一個OLE對象的字段,並添加一條記錄,插入之前建立的文本文件,要是操作正確,便可以看到一個新的名為“數據包”的記錄。可以了!

 

防范措施三:在數據庫名稱前加上“#”等特殊符號

在數據庫文件名之前加上“#”等特殊符號、然後修改數據庫連接文件(如c_custom.ASP)中的數據庫地址,也可以起到不錯的保護作用。原理是:當歹徒下載的時候,浏覽器或下載工具將只能識別“#”符號前的部分地址,而對於“#”後面的名將自動去除。舉個例子,假設你要下載:http://www.diyidu.cn/date/#123.mdb(如果存在的話),當你輸入該地址回車,此時無論是IE還是Flashget等,下載到的將都是http://www.diyidu.cn/date/index.htm(index.ASP、default.JSP等你在IIS設置的首頁文檔)。

另外,在數據庫文件名中保留一些空格也能起到類似作用,由於Http協議對地址解析的非凡性,空格會被編譯為“%”,比如你要下載:http://www.diyidu.cn/date/123 456.mdb(123與456之間是個空格),當你輸入該地址回車,此時你下載到的將是http://www.diyidu.cn/date/123%456.mdb。而我們的目錄中,根本就沒有123%456.mdb這個文件,所以下載也是無效的。經過這樣的修改以後,即使你暴露了數據庫地址,一般情況下別人也無法下載得到。所以,這項措施的安全指數較之前兩法,有更高了一籌。

防范措施四:為你的Access數據庫加密

選取“工具-》安全-》加密/解密數據庫,選取數據庫(如:ABC.mdb)”,然後按確定,接著會出現“數據庫加密後另存為”的窗口,另存為:ABC1.mdb,接著原數據庫ABC.mdb就會被編碼,然後另存為ABC1.mdb。注意,以上動作並不是對數據庫設置密碼,而是對數據庫文件加以編碼,目的是為了防止他人使用查看工具來查閱數據庫文件中的內容。接下來的操作是:首先打開經過編碼了的ABC1.mdb,在打開時,選擇“獨占”方式。然後選取功能表中的“工具-》安全-》設置數據庫密碼”, 接著輸入密碼即可。這樣即使他人得到了ABC1.mdb文件,沒有密碼也是無法看到ABC1.mdb的。最後,記得加密完要同步修改數據庫連接文件哦!

一點小說明:由於Access數據庫的加密機制相對簡單,即使設置了密碼,解密也很輕易。只要數據庫被下載了,其信息安全依然是個未知數。所以,此法也不是最佳。

防范措施五:將數據庫放在Root目錄以外或將數據庫連接文件放到其他虛擬目錄下

這個方法是低一度目前正在使用的,強烈推薦之。比方說,你的WEB目錄是D:\wwwroot,那麼你可以將數據庫放到D:\databases這個文件夾裡,然後修改D:\wwwroot裡的數據庫連接文件,將數據庫連接地址修改為:“../databases/數據庫名” 的形式,這樣數據庫也可以正常調用,但是就無法下載了,因為它不存在於wwwroot目錄裡!這個方法一般不適合於購買虛擬主機的用戶。當然,現在的多數虛擬主機程序在wwwroot目錄平行位置,已經都有獨立的databases目錄了,這樣子處理後相對來說是最安全的。因為在http環境下,根本沒有url可以指向這個目錄。除非黑了整台主機!

防范措施六:學會使用ODBC數據源。

ASP等程序設計中,假如技術條件允許,應當盡量使用ODBC數據源,不要將數據庫名寫進程序中,否則,數據庫名將跟隨ASP源代碼一同失密,即使你的數據庫名字起得再怪異,隱藏的目錄再深,也可能很輕易被下載下來。假如使用了ODBC數據源,就不會存在這樣的問題了:conn.open “ODBC-DSN名” ,不過這樣是比較繁瑣的,目錄移動的話就要重新設置,更方便的方法請看下面吧!使用ODBC數據源處理的結果有一點不好,就是效率很低,速度會變慢,遷移也不方便。因此雖然安全,也不提倡。

防范措施七:添加數據庫名的擴展映射

這個方法就是通過修改IIS設置來實現的,適合有IIS控制權的同學使用,不適合購買虛擬主機的用戶(除非技術已經設置了)。但這個方法我認為是目前最好最可靠的。只要修改一處,整個站點的數據庫都可以防止被下載,而無須修改代碼,即使暴露目標地址也無妨。

操作:在“IIS屬性——主目錄——配置——映射——應用程序擴展”那裡添加如.mdb文件的應用解析。注意,這裡的選擇的DLL(或EXE等)似乎也不是任意的,選擇不當,這個MDB文件還是可以被下載的,最好不要選擇ASP.dll等。你可以自己多測試幾下。經過這樣的修改後,下載數據庫如:http://www.diyidu.cn/data/123.mdb,就會出現404或500等錯誤。

防范措施八:懂得利用.Net的優越性

動網的木鳥就寫過一個防非法下載文件的“WBAL防盜鏈工具”。不過它只實現了防非本地下載的,沒有起到真正的防下載數據庫的功能。但這個方法已經跟措施五差不多,可以通過修改.Net文件,實現本地也不能下載!

最後總結:這幾個措施中,只有七和八是統一性改的,一次修改配置後,整個站點的數據庫都可以防下載,其他的幾個措施就要分別修改數據庫名和數據庫連接文件了,比較麻煩,不過對於使用虛擬主機的朋友而言,也只能這樣了!另外,其實第六個措施應該是第五個措施的擴展,可以實現非凡的功能,但如果對不支持.Net的主機或怕設置麻煩的人而言,還是直接用第五種措施好了。OK,就這些吧!

  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved