计算机数据库的安全状况与化解路径

本文作者：杨晶晶 单位：广安职业技术学院工程技术与信息系　

一、计算机网络数据库安全概述

对数据库进行安全保护，可以有效避免用户非法越权使用、窃取、更改甚至破坏数据。数据库安全包括以下几点。

1.逻辑完整性。保护数据库的整体结构，如对某个字段进行修改时，其他字段没有遭到破坏。

2.物理完整性。数据不会受到自然及物理问题的破坏，如电力和设备故障等问题。

3.元素安全性。数据库中存储的所有元素均正确。

4.访问控制。明确只有通过授权的用户才可以访问数据库，可以通过不同方式限制不同用户的访问。

5.可审计性。能够对数据库元素进行追踪存取与修改。

6.可用性。授权用户可以对数据库进行自由访问。

7.身份验证。审计追踪、访问数据库必须进行严格的身份验证。

二、计算机网络数据库存在的安全威胁

1.数据库的下载。多数用户在使用ASP编写连接文件中，大都用语句“（conn.asp）：＜％......db＝“/admin/database/bxzcvmqhjwkry21ahfqweir.mdb”数据库文件具体位置......％＞”对数据库进行保护。单从语句的连接上看是正确的，而且名称长度也很保险，下载者对数据库难以识别破解。但是如果通过暴库技术与相关工具，就可以快速定位具体数据库的各种情况，一般是用“％5c”命令，虽然不能百分百成功暴库，但是出现暴库的几率非常高。在获取地址后通过IE输入，再下载到本地，就能够获得用户名及密码。

2.注入SQL。互联网中，大多数是在设立防火墙后才布置WEB服务器，只开放80端口，非法者无法入侵其他端口，因此，80端口是他们入侵的目标，而常用方式是注入SQL。有少数程序编制者在编写程序的代码时，忽略了对用户输入的数据正确性的辨别，使得应用程序面临很多威胁。在客户端对代码进行传输，收集处理程序与服务器数据信息，得到所需资料，这种操作被称为注入SQL。注入SQL可以常规访问80端口，相当于普通Web页面进行访问，防火墙对注入SQL无法获取报警信息，如果管理员不能及时进行审核检查，几乎很难发现被入侵。

三、维护计算机网络数据库安全的应对措施

1.严格查堵URL端漏洞。在审核用户使用数据库的情况时，若发现用户端在URL提交参数时，存在exec，insert，delete，from，count，user，xp_cmdshell，add，asc（，char（，drop，able，mid"等用在注入SQL中的字符以及字符串，就必须立即禁止ASP的运行，而且会显示出如“出错提示”等报警信号，对于有接收的用户端在URL提交参数程序时用<!--#includefile＝“../*****.asp”-->即可写入程序，该方法能够有效防止多数入侵者的入侵，同时还不会影响程序执行的速度；也可以在if语句中对注入SQL常用的字符、字符串进行设置，在特定的时间里拒绝IP访问，增强数据库安全，防止黑客非法入侵。

2.严格查堵form和cookies漏洞。有些袭击者通过form、cookies提交含有“or”、“＝”等字符入侵，为防止入侵，应该在编写程序时添加特殊字符，确保程序安全执行。可通过paraname＝Request.form（）即paraname＝Request.Cookies（）获取用户名与密码，再加入代码，如果在用户参数paraname中发现空格、＝、or等字符时，应该终止then后面的执行情况，不再运行ASP，以拦截入侵者入侵。

3.增强自身安全。暴库是因为IIS服务器具体显示各执行错误的情况并中断执行时，把错误信息发送给了用户。为防止暴库，应该调整IIS默认设置。通常的防范措施是把数据库后缀名由MDB变为ASP、ASA。虽然该方式可以防暴库，但随着计算机技术的发展，该方法已经无法满足最新防范的要求。后缀修改的ASP、ASA的数据库文件，黑客能够进行查找并确定具体存储位置，可以通过迅雷等下载获得。

4.数据库名的前面加“#”。现在大部分的管理员在数据库名的前面加#号，可以有效防止数据库被非法下载，这是因为IE不能下载带#号文件。但是网页不仅可以通过常规方式进行访问，还能够通过IE编码技术进行访问。IE里的不同字符都存在相应编码，编码符号“%23”可以取代#号，以此种方式进行处理后，数据库文件后缀加#号是无法被下载和使用。

5.加密用户密码。加密用户密码也是一项有效的应对措施，一般是采取MD5进行加密。MD5没有反向算法，因此很难解密，黑客们即使获得加密情况，但还是无法找出正确的原始密码。虽然可通过UPDATE方式以其他密码替代，但是这种操作难以实行。需要注意的是，信息数据进行MD5加密后很难解密，因此用户必须防止密码丢失、忘记。这种加密方法必须改变前用户的所有资料，用户要对资料进行重新设置，还要把数据库中经过MD5加密放入相关字段进行计算后才能再次存储。

四、结论

数据库的安全直接影响到整个计算机网络系统的安全，因此，应该采取全方位的保护措施，保证计算机网络系统的安全，为广大用户营造安全且稳定的网络运行环境，以防止计算机网络数据库被非法入侵和袭击。