仓酷云

标题: 公布Mssql和Mysql的平安性剖析 [打印本页]

作者: 若天明 时间: 2015-1-16 20:14
标题: 公布Mssql和Mysql的平安性剖析
珍贵的资金可以用于其他业务的启动，诸如市场、广告或调研和开发等。yanweidong1030[原作]
数据库是电子商务、金融和ERP体系的基本，一般都保留侧重要的贸易同伴和
客户信息。年夜多半企业、构造和当局部门的电子数据都保留在各类数据库中，他们
用这些数据库保留一些团体材料，还把握着敏感的金融数据。可是数据库一般没有象
操纵体系和收集如许在平安性上遭到器重。数据是企业，构造的命根子地点，因而选择
一款平安的数据库是相当主要的。年夜型网站一样平常利用Oracle或DB2，而中小型网站年夜
多半利用加倍天真玲珑的mssql数据库大概MySQL数据库。那末，在一样的前提下，微
软的mssql和收费的mysql哪一个加倍平安呢？
我在我的机子下面用办理员帐号默许安装了mssql和mysql以便在不异的情形下测
试他们的平安性。我的体系设置以下：操纵体系MicrosoftWindows2000Version5.0，
安装了sp4，ftp服务和iis服务，撑持asp和php。体系只要一个办理员帐号admin，guest
帐号没有禁用。

一.体系外部平安性剖析

1.mysql数据库权限把持成绩
mysql的权限把持是基于mysql这个数据库的，叫做受权表，一共包含包含六个表
columns_PRiv，db，func，host，tables_priv和user。先利用descuser命令检察非
常主要的user表的布局以便查询内容，如今能够检察他的权限设置了。
利用命令selecthost,user,passWord,delete_priv,update_priv,drop_privfromuser;
这个命令检察了几个对照伤害的权限，显现了局以下：
mysql>selecthost,user,password,delete_priv,update_priv,drop_privfromuser;
+-----------+------+------------------+-------------+-------------+-----------+
|host|user|password|delete_priv|update_priv|drop_priv|
+-----------+------+------------------+-------------+-------------+-----------+
|localhost|root|0e4941f53f6fa106|Y|Y|Y|
|%|root||Y|Y|Y|
|localhost|||Y|Y|Y|
|%|||N|N|N|
+-----------+------+------------------+-------------+-------------+-----------+
4rowsinset(0.00sec)
第一条暗示在本机利用root用暗码上岸，具有删除纪录，修正纪录，删除表等权限，
好，这是平安的。第二条暗示在任何主机利用root不需暗码上岸，具有删除纪录，
修正纪录，删除表等权限。第三条暗示在本机匿名上岸，具有删除纪录，修正记
录，删除表等权限。最初条暗示能够再任何主机匿名上岸，可是没有任何权限。
明显，第二，三，四都是不平安的！第二条不必说，就第三条而言，就算你在当地
是guest权限，可是也能够上岸mysql数据库，并且具有全体权限。如许，就能够对数
据库随心所欲了。
办理办法：假如你不必要远程保护，删撤除第二条,deletefromuserwhere
host="%"anduser="root";大概给它加个健壮的暗码。删除第三条，deletefrom
userwherehost="localhost"anduser="";

2.mysql安装目次权限成绩
mysql默许安装到c:mysql，可是c盘默许是everyone完整把持，因为权限的承继
性，c:mysql对everyone也是完整把持的，明显如许是不平安的。由于歹意用户能够
删除主要的数据文件。
办理办法：从头设置mysql目次的存取权限。大概将mysql安装到其他目次,假如
你挪动Mysql分发到D:mysql，你就必需利用用
D:mysqlinmysqld--basedirD:mysql来启动mysqld，乃至还必要修正它的设置
文件。
3.mssql数据库权限把持成绩
mssql数据库的权限把持是基于master库的syslogins表，具有一切权限的帐号是
sa，其他另有sysadmin，db_owner等分歧权限帐号。可是，mssql数据库最高权限帐
号sa的默许暗码是空，如许假如安装的时分不注重，就会给数据带来扑灭性的劫难。
歹意打击者能够修正，删除一切数据，加倍主要的是mssql帐号能够使用扩大实行系
统命令。
办理办法：按期反省一切上岸帐号，检察是不是有不切合请求的暗码。
Usemaster
Selectname,Passwordfromsysloginswherepasswordisnull命令反省是不是有空
口令帐号存在。尽量的删除存储扩大，避免当地用户使用存储扩大实行歹意命令。
usemaster
sp_dropextendedprocxp_cmdshell命令删除xp_cmdshell扩大。
4.mssql安装目次权限成绩
同mysql一样，mssql也是安装到everyone完整把持c盘，因为存取把持成绩，最
好安装到d盘等非体系盘举行严厉的权限把持。并且，因为mssql数据库与体系分离十分严密，体系办理员在没无数据库暗码的情形下也能够经由过程选择windows考证来操纵数据库。因而，一般用户有大概经由过程体系毛病提拔本人的权限，对数据库举行损坏。
办理举措：除严厉的存取限定外，还要按期检察SQLServer日记反省是不是有可
疑的登录事务产生，大概利用DOS命令findstr/C:"登录"d:MicrosoftSQLServerMSSQLLOG*.*。
mssql的平安是和windows体系平安严密分离的，任何一个呈现毛病，城市威逼到另外一个的平安。

总结，在体系外部平安性上，mysql和mssql都没有到达使人中意的水平，帐号平安，存取权限都把持的不是很好。可是mssql有具体的日记能够检察上岸情形，比mysql要凌驾一筹。假如举行了公道的设置，mysql反而要加倍平安些，由于对mssql而言，只需有体系权限便可具有数据库权限。

二.内部收集平安性剖析

1.数据库服务的探测
为了平安，可让mysql服务运转在内网，可是假如你的呆板有外网的接口，mysql也会主动被绑定在外网下面，表露在internet中，并且体系会在TCP的3306端口监听，十分简单被端口扫描工具发明，不克不及包管数据平安。假如默许，mssql则会翻开TCP的1433端口监听。固然mssql能够工资的改动监听端口，可是经由过程微软未公然的1434端口的UDP探测能够很简单晓得SQLServer利用的甚么TCP/ip端口了。往UDP1434端口
发送一个1个字节的内容为02的数据包，被探测的体系则会前往安装的mssql服务信息，这些信息包含：主机称号、实例称号、版本、管道称号和利用的端口等。这个端口是微软本人利用，并且不象默许的1433端口那样能够改动，1434是不克不及改动的。一个典范的前往的信息以下：
ServerName;Sky;InstanceName;sky;IsClustered;No;Version;8.00.194;tcp;3341;np;skypipeMSSQL$XHT310sqlquery;能够发明mssql的tcp端口改成了3341，为打击者翻开了便利之门！只需会一点socket编程常识，很简单就能够写出扫描mssql服务的程序，并且，因为使用了udp端口，一样平常的过滤是很难提防的。补天的awen写了个探测程序，用的是c#言语，代码以下：
usingSystem;
usingSystem.Net.Sockets;
usingSystem.Net;
usingSystem.Text;
usingSystem.Threading;
namespaceConsoleapplication3
{
classClass1
{
//创立一个UDPCLIENT实例
privatestaticUdpClientm_Client;
//LISTEN用来猎取前往的信息
publicstaticstringListen(stringhostip)
{
stringHostIP=hostip;
IPAddressthisIP=IPAddress.Parse(HostIP);
IPEndPointhost=newIPEndPoint(thisIP,1434);
byte[]data=m_Client.Receive(refhost);
EncodingASCII=Encoding.ASCII;
StringstrData=ASCII.GetString(data);
returnstrData;
}
//SEND
publicstaticvoidSend(stringhostip)
{
stringHostIP=hostip;
byte[]buffer={02};
//02为要发送的数据，只要02、03、04有回应
intecode=m_Client.Send(buffer,1,HostIP,1434);
//ecode用来前往是不是乐成发送
if(ecode<=0)
{
Console.WriteLine("发送时堕落："+ecode);
}
}
//对前往的信息的复杂的处置
publicstaticvoidOutputInfo(stringstrdata)
{
stringstr=strdata;
//str.le
char[]that={‘;‘,‘;‘};
string[]strofthis=str.Split(that);
//inti=0
for(inti=0;i{
Console.Write(strofthis);
Console.Write(‘
‘);
}
}
//输出IP
publicstaticstringInputHostIP()
{
Console.Write("entertheipyouwanttoscan:
");
stringhostip=Console.ReadLine();
Console.Write(‘
‘);
returnhostip;
}
//EXIT
publicstaticvoidExit()
{
Console.WriteLine("ifyouwanttoexit,justinput1
");
inta=Console.Read();
if(a!=1)
{
Console.WriteLine("ifyouwanttoexit,justinput1
");
Console.Read();
}
else
{
}
}
[STAThread]
staticvoidMain(string[]args)
{
stringHostIP;
HostIP=InputHostIP();
Console.WriteLine("Begintosendudptothehost");
m_Client=newUdpClient();
Send(HostIP);
stringstrData=Listen(HostIP);
OutputInfo(strData);
Exit();
}
}
}
3一个典范的前往的信息
ServerName;AWEN;
InstanceName;AWEN;
IsClustered;No;
Version;8.00.194;
tcp;1044;（TCP的端口，可见就算改了端口也是很简单找到的）
np;AWENpipeMSSQL$XHT310sqlquery;

办理举措：安装防火墙，大概使用Windows2000体系的ipsec对收集毗连举行ip限定，完成IP数据包的平安性。对IP毗连举行限定，只包管本人的IP可以会见，回绝其他IP举行的端口毗连，把来自收集上的平安威逼举行无效的把持。主要的是，还要对端口作过滤，包含年夜部分的tcp和udp端口，由于仅仅做ip限定的话，有大概歹意打击者先打击被数据库服务器信托的主机，把持以后作为跳板对数据库服务器举行打击。

2.数据库的暗码探测
暗码打击包含两种，破解暗码和收集监听。破解暗码是利用工具一直的毗连数据库来推测暗码，包含字典打击，暴力打击和界于二者之间的半暴力半字典打击。一般打击者先接纳字典打击的办法，没有乐成的话顺次接纳半暴力半字典打击，暴力打击。在收集速率够好，电脑运算才能够强的情形下，这样的暗码打击伤害是相称年夜的。收集监听则是把持一台收集设备，在下面运转监听工具捕捉在收集中传送的暗码信息。收集监听能够分为两种，一种是内部的监听，将侦听工具软件放到收集毗连的设备大概放到能够把持收集毗连设备的电脑上，这里的收集毗连设备，好比网关服务器，好比路由器等等。别的一种是来自外部的监听，关于不平安的局域网，数据是接纳播送的体例传布的，只需把网卡设置为混同形式便可吸收到原本不属于本人的数据包，固然大概包含暗码信息等材料。
办理办法：针对暗码破解，只需把暗码设置为充足健壮，而且对同个ip地点一直的毗连哀求举行屏障便可。可是关于监听来讲，收集传输的时分假如不加密的话，一切的收集传输都是明文的，包含暗码、数据库内容等等，不论何等庞大的暗码都是于事无补的，这是一个很年夜的平安威逼。以是，在前提允许情形下，最好利用SSL
来加密协定，固然，你必要一个证书来撑持。而且，关于收集监听应当实时发明，假如收集中的丢包率俄然提高，那末就有来由嫌疑收集遭到监听。
3.剧本平安
剧本平安自己就是个十分庞大的成绩，足以写一篇专业的长篇剖析文章，并且我对剧本不是很熟行，mix,envymask,pskey,angel他们对照猖狂，哈哈。剧本
平安次要是对提交的数据缺少严厉的反省招致的，对照伤害的标记有“;”，“”，“#”，“--”，“$”，“”等。这个成绩最后被以为是asp+sqlserver的成绩，可是很快就发明本色上它的影响十分年夜，厥后有人持续深切发明在php+mysql该成绩仍然会存在，san对php作过深切剖析，有乐趣的往平安核心找他的文章。关于剧本
好象没有特无效的办理办法，只要依托程序员的团体本质了……

总结，不论是mysql，仍是mssql，在内部收集中，都遭到相称年夜的威逼。比拟而言，mssql遭到的威逼乃至要更年夜些，比来2年来，mssql表露出了多个远程溢露马脚。假如设置的对照好的话，我以为，mysql要比mssql平安一些，由于随时会发作的新溢露马脚是防不堪防的，并且可以实行体系命令的sql注进打击也十分可骇。好了，限于篇幅，这篇文章到此停止。

要想在MySQL与其他数据库之间进行一个面面俱到的功能设置对比，并不是一件容易的MySQL学习教程。随着新软件版本的发布或一些补丁的推出。

作者: 仓酷云 时间: 2015-1-18 19:18
理解了存储结构，再阅读下性能优化的章节基本上会对sqlserver有个清晰地认识

作者: 小女巫 时间: 2015-1-27 07:15
记得在最开始使用2k的时候就要用到这个功能，可惜2k没有，现在有了作解决方案的朋友会很高兴吧。

作者: 精灵巫婆 时间: 2015-2-11 07:08
XML字段类型更好的解决了XML数据的操作。XQuery确实不错，但是个人对其没好感。（CSDN的开发者应该是相当的熟了！）

作者: 爱飞 时间: 2015-3-1 23:47
SP4包括用于以下SQLServer2000组件的程序包：Database组件（下载文件：SQL2000-KB884525-SP4-x86.EXE）更新SQLServer2000的32位Database组件，包括数据库引擎、复制、客户端连接组件及工具。有关其他信息，请参阅ReadmeSql2k32Sp4.htm。AnalysisServices组件（下载文件：SQL2000.AS-KB884525-SP4-x86.EXE）更新SQLServer2000的32位AnalysisServices。

作者: 分手快乐 时间: 2015-3-11 01:25
入门没那么困难，精通没那么容易

作者: 飘灵儿 时间: 2015-3-24 19:51
如果，某一版本可以提供强大的并发响应，但是没有Oracle的相应版本稳定，或者价格较贵，那么，它就是不适合的。

欢迎光临仓酷云 (http://ckuyun.com/)