建站
咨詢
售后
建站咨詢
新聞中心
針對Web應(yīng)用的攻擊——SQL注入為人所熟知，安全專家對被越來越多的黑客所利用的這一方式長期以來都非常警惕。SQL注入是一種人為向Web表單的輸入框中加入惡意的結(jié)構(gòu)化查詢語言（SQL）代碼以試圖獲取資源的訪問權(quán)限或是改變數(shù)據(jù)的安全攻擊。
創(chuàng)新互聯(lián)公司是一家集網(wǎng)站建設(shè),茌平企業(yè)網(wǎng)站建設(shè),茌平品牌網(wǎng)站建設(shè),網(wǎng)站定制,茌平網(wǎng)站建設(shè)報價,網(wǎng)絡(luò)營銷,網(wǎng)絡(luò)優(yōu)化,茌平網(wǎng)站推廣為一體的創(chuàng)新建站企業(yè)，幫助傳統(tǒng)企業(yè)提升企業(yè)形象加強企業(yè)競爭力。可充分滿足這一群體相比中小企業(yè)更為豐富、高端、多元的互聯(lián)網(wǎng)需求。同時我們時刻保持專業(yè)、時尚、前沿，時刻以成就客戶成長自我，堅持不斷學(xué)習(xí)、思考、沉淀、凈化自己，讓我們?yōu)楦嗟钠髽I(yè)打造出實用型網(wǎng)站。
它需要的唯一條件是網(wǎng)絡(luò)端口80處于開放狀態(tài)。即使有設(shè)置妥當(dāng)?shù)姆阑饓?，這一端口也是少數(shù)的幾個允許流量的通道之一。最近發(fā)生的SQL注入案例是Heartland Payment Systems公司的服務(wù)器攻擊事件，它讓網(wǎng)絡(luò)管理人員意識到SQL注入威脅的嚴重程度并且開始重新審視他們對這一攻擊的防范措施。
防御SQL注入攻擊的主要方法是使用參數(shù)化的存儲程序。當(dāng)這些程序被使用時，將以參數(shù)和用戶定義的子程序的形式對數(shù)據(jù)庫發(fā)出請求，這就代替了需要用戶直接提供數(shù)值的命令方式。SQL參數(shù)的優(yōu)勢不光體現(xiàn)在輸入的安全性上，而且他們還能夠很大程度地減少SQL注入攻擊發(fā)生的成功幾率。
數(shù)據(jù)庫的開發(fā)不在網(wǎng)絡(luò)管理員的職責(zé)范圍之內(nèi)，但是你應(yīng)當(dāng)堅信只有保障了網(wǎng)絡(luò)上的數(shù)據(jù)安全才能保證遵循了最佳實踐。
雖然使用存儲程序是必須的，但光這樣做還是不夠的。為了防御潛在的攻擊者，深度防御戰(zhàn)略是必不可少的。否則開發(fā)者將會被要求提供前線安全（front-line security），而從以往經(jīng)驗看來這對許多的組織來說都是種挑戰(zhàn)。數(shù)據(jù)庫管理員和應(yīng)用程序開發(fā)者應(yīng)當(dāng)遵從最佳實踐是毫無疑問的，但還是讓我們來看看你作為一個網(wǎng)絡(luò)管理員，為數(shù)據(jù)庫資源提供附加保護所能做的事情。
應(yīng)用程序和數(shù)據(jù)庫服務(wù)器很顯然需要加固，并需要定期打補丁，但是由于SQL注入攻擊的對象是具體的Web應(yīng)用程序——ASP, JSP, PHP等，而不是Web服務(wù)器和SQL注入攻擊運行的操作系統(tǒng)，因而SQL注入攻擊不能因系統(tǒng)的補丁升級而得到解決。
靜態(tài)的和網(wǎng)絡(luò)中傳送的敏感信息都需要加密，但作出最大貢獻的可能要數(shù)附加的Web應(yīng)用防火墻或作為附加防御的一些應(yīng)用層防火墻的變種。
Web應(yīng)用防火墻的防護范圍超越了傳統(tǒng)網(wǎng)絡(luò)防火墻和入侵檢測/入侵防御系統(tǒng)。許多Web應(yīng)用防火墻，比如由Imperva公司和Barracuda Networks公司開發(fā)的產(chǎn)品，能夠幫助防御SQL注入攻擊、跨站腳本攻擊和其他的一些針對應(yīng)用程序邏輯漏洞或軟件技術(shù)漏洞的攻擊。最新的Web應(yīng)用防火墻能夠識別由攻擊者使用SQL注入開發(fā)的逃逸技術(shù)（evasion techniques）。例如，有一種是通過對注入的命令進行部分編碼來達到攪亂攻擊的目的的。
你所選擇的應(yīng)用層防火墻應(yīng)當(dāng)同時允許創(chuàng)建過濾器來進行攔截、分析或者修改僅限于流向該網(wǎng)絡(luò)的流量。大量的請求通常不需要分析，過濾器通常不應(yīng)當(dāng)去除在SQL注入攻擊中經(jīng)常使用的字符串，例如——and @@version。所有的這些請求都能夠記錄到日志并且其原IP地址也可封閉。更出色的防火墻能夠“學(xué)習(xí)”對你的特定網(wǎng)絡(luò)來說哪些是正常流量，哪些是異常流量，并且采取各自相應(yīng)的處理方式。
當(dāng)檢測到異常狀況時，Web應(yīng)用防火墻能夠關(guān)閉正在發(fā)生的潛在攻擊進程。而且，由于SQL注入通常通過URL查詢字符串來發(fā)動攻擊，對Web服務(wù)器的日志文件進行定期檢查可以發(fā)現(xiàn)可能帶來注入攻擊的異常查詢操作。
作為網(wǎng)絡(luò)管理員，有一點很重要，那就是保證Web應(yīng)用程序使用的任何賬戶的權(quán)限必須被設(shè)置為最低級別。嚴格的訪問限制將會降低成功的攻擊所造成的損失。絕對不要在用戶使用帶有管理權(quán)限的用戶名，例如在服務(wù)器層使用“sysadmin”，或者在數(shù)據(jù)庫層使用“db_owner” 時，連接Web應(yīng)用程序。
例如，微軟建議在安裝SQL Server時，為服務(wù)分配一個域賬戶，以限制用戶只能訪問必要資源。這樣以來，即使攻擊者攻破了某組織的防線，他還會被訪問SQL服務(wù)器的控制集限制住。
由于SQL注入攻擊利用的是寫得不夠完美的代碼，完全阻止SQL注入攻擊的唯一方式是解決你的應(yīng)用程序代碼的漏洞問題。然而，作為網(wǎng)絡(luò)管理員，你還可以添加附加的防御層，從而使?jié)撛诘墓粽吒y攻克。
【編輯推薦】
- 重新審視企業(yè)IPS的應(yīng)用：防御SQL注入攻擊的利劍
- 有效預(yù)防SQL注入攻擊的六脈神劍
- 網(wǎng)站安全：整站如何防止SQL注入方式入侵-
- 內(nèi)容共享站點成網(wǎng)絡(luò)犯罪高發(fā)場所
- 電子商務(wù)中的信息安全及關(guān)鍵技術(shù)的探討
- RSA:順應(yīng)信息安全大趨勢七項指導(dǎo)原則
網(wǎng)頁標題：防止SQL注入攻擊：網(wǎng)絡(luò)管理員的前景展望
當(dāng)前地址：http://m.5511xx.com/article/dpcssog.html
