数据库安全本身是一个比较大的概念,其中包括数据独立性、数据安全性、数据完整性、并发控制和故障恢复等。这里我想讨论一下数据的安全性和应用程序对数据库调用的安全验证。
对于数据安全性,
一般采取隔离法则,即把重要的数据隔离出来。这种方法比较常用,操作性也强。
二是采用授权机制,通过数据库供应商的安全机制保护数据。通用的方法,不解释。
三是对数据进行加密后再存储于数据库。但这样对应用程序调用有影响,而且对于ORACLE这种供应商,一旦对数据进行加密,一些功能就不支持。所以这种方法适用于对应用程序调用要求不高,但数据安全性高的情况。
对于应用程序访问数据库的安全检验,是本文着重讨论的话题。先看一下常用的应用程序架构。
这种架构的好处就是避免了应用程序直接对关键数据进行操作,中间层用来进行系统认证、IP认证、授权认证。而真实数据库则是完全对外透明,应用程序服务A和B并不知道其地址、用户名和密码。中间层也不会对外开放,通过JMS消息机制传输数据,可以保证数据的安全和完整。
l 系统认证:对于图中,只有应用服务器A和B才能对数据库进行修改的操作。
l IP认证:对于外网IP,非授权的IP进行过滤
l 授权认证:设定安全策略,例如,应用服务器A或B只能对授权了的数据进行操作,B不能访问A能访问的数据,A也不能操作B访问的数据。
这种架构可以防止大部分的非法入侵,除非你攻破了企业内网,并非法获取了数据库的用户名密码,否则这种方式是比较安全的。
但这种架构还是有问题,如果应用服务器中的应用程序留有后门程序,即应用程序开发人员有意或无意地创建了一些不用登陆便能使用程序资源的程序。无意地即在开发过程中,为了调试方便而开放了一些页面,可以查看数据库的内容,但程序实际运行中并未删除;有意地即刻意保留后门,供日后非法入侵所用。对于这种现象,我设计了一个中间层来保护数据的调用。如下图
但这种方法还是防范不了后门程序内嵌入已有程序里。比如说在一个页面里有一个隐藏按钮,此按钮可在页面通过程序显示出来,之后再调用这个按钮,让其去后台抓取资料。
像这样的情况就需要软件开发中的代码检查,即代码安全性检查,做到每个人提交的代码都需要相关人员进行审查,要有完整的代码跟踪记录。
相关推荐
windows后门程序windows后门程序wiwindows后门程序ndows后门程序
1 如何使非常规后门变成exe后门,方便我们使用,这里我们用来演示的后门程序是黑客之门1.0版本。 2 如何修改后门程序躲过杀毒软件(这里拿比较强悍的avp-来自俄罗斯的卡巴斯基 作为例子),这里使用的是修改特征码的...
后门程序 深入分析 防范教程 ,更好的掌握和防范后门程序
程序后门制作程序后门制作程序后门制作程序后门制作
一种实现隐藏型后门程序的代码,能帮助学习者掌握原理.
后门可以按照很多方式来分类,标准不同自然分类就不同,为了便于大家理解,我们从技术方面来考虑后门程序的分类方法:
主要介绍了Linux下查找后门程序 CentOS 查后门程序的shell脚本,需要的朋友可以参考下
一个简单的C#后门程序实例,告诉你怎样去写一个后门程序。
PHP实例开发源码——PhpSpy 2008 WEB后门程序
PHP实例开发源码—PhpSpy 2008 WEB后门程序.zip PHP实例开发源码—PhpSpy 2008 WEB后门程序.zip PHP实例开发源码—PhpSpy 2008 WEB后门程序.zip
NFine去后门版和数据库说明,节约程序员时间,去除60%业务代码编写。 快速开发NFine框架 去除后门隐患,开发迅速、代码量少、学习简单、功能强大、轻量级、易扩展,让Web开发更迅速、简单。
nfine去后门版和数据库说明,节约程序员时间,去除60%业务代码编写
winshell是一个非常不错的后门程序,但是现在已经 有些过时了,于是我写了一个新的wxhshell,在这款后门里我采用了端口复用技术,因此可 以突破一些防火墙。其运行不影响正常端口的工作。 注意:本后门对于...
DLL后门技术DLL后门技术,开发DLL后门的文档
启动后会自动创建一个小后门,然后可以telnet进去系统获得一个shell,很简单的一个小程序
采用VS2010开发,VC++也可编译通过!简单shift后门程序!
随着Web2.0、社交网络、微博等一系列新型的互联网产品的诞生,Web业务的迅速发展也引起黑客们的强烈关注,接踵而至的就是网络数据库安全威胁的凸显,黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web...
五次SHIFT后门程序五次SHIFT后门程序五次SHIFT后门程序
DELPHI编写的后门远程控制程序,可以得到对方的cmd,有密码验证。
php万能后门操作类,放如任何php程序中即可使用!