對于一個網(wǎng)站來說意味著什么?可能有很多站長會說只是一個記錄數(shù)據(jù)的工具。這種說法固然沒錯，但是卻遺漏了重要的一點，數(shù)據(jù)庫也是一個網(wǎng)站安全的中心，一旦數(shù)據(jù)庫被得到，那么輕則得到網(wǎng)站數(shù)據(jù)和用戶隱私信息，重則滲透網(wǎng)站，影響整個的安全。正因為很多站長對數(shù)據(jù)庫的安全意識不夠，才導(dǎo)致很多安全問題的發(fā)生。本文將讓大家了解數(shù)據(jù)庫對一個網(wǎng)站的重要性，并為數(shù)據(jù)庫建造一面“銅墻鐵壁”。
一、數(shù)據(jù)庫的獲取
數(shù)據(jù)庫對網(wǎng)站重要性不言而喻，那么黑客是通過什么手段得到網(wǎng)站數(shù)據(jù)庫的呢？
1.默認(rèn)的數(shù)據(jù)庫路徑
很多站長建站或論壇使用的都是現(xiàn)成的整站程序，這就造成了一個很大的安全隱患，即默認(rèn)的數(shù)據(jù)庫的路徑。雖然在這些程序的說明文檔中都提示修改數(shù)據(jù)庫的默認(rèn)路徑，但是仍有些安全意識不高的站長不屑于修改或者不會修改。這樣當(dāng)黑客在該網(wǎng)站的地址后輸入默認(rèn)數(shù)據(jù)庫的路徑，就可以輕易下載到數(shù)據(jù)庫。
2.暴庫顯示路徑
什么叫“暴庫”，簡單得說就是構(gòu)造特殊地址使網(wǎng)站程序運行出錯，從出錯的信息中得到數(shù)據(jù)庫的路徑。暴庫并不是一門十分高深的技術(shù)，但是卻可以很快得找到數(shù)據(jù)庫路徑，而且成功率很高。要想進行暴庫，首先需要對IE進行設(shè)置，運行IE,點擊“工具”菜單→“Internet選項”，切換到“高級”標(biāo)簽，將“顯示友好HTTP錯誤信息”前面的勾去掉，然后保存，這樣做是讓返回真實的錯誤信息，而不是類似505錯誤，405錯誤等經(jīng)過處理后的錯誤信息。找到一個存在暴庫漏洞的程序，例如較早版本的“動力文章系統(tǒng)”。打開““動力文章系統(tǒng)”的任意頁面，在IE地址欄中將該頁面地址出現(xiàn)的最后一個“/”替換為“%5c”，然后回車，如果暴庫漏洞存在，那么數(shù)據(jù)庫路徑將會馬上顯示出來。
圖1.成功暴出數(shù)據(jù)庫
3.防下載設(shè)置不夠嚴(yán)密
排除程序的原因，數(shù)據(jù)庫被下載很大一部分的原因是人為因素。有些站長已經(jīng)認(rèn)識到數(shù)據(jù)庫的重要性，雖然沒有修改默認(rèn)的路徑，但是將數(shù)據(jù)庫默認(rèn)的后綴名“mdb”改為了“asp”，這樣即使別人知道了數(shù)據(jù)庫的路徑，也無法在瀏覽器中進行下載，而是直接在頁面中顯示數(shù)據(jù)庫的內(nèi)容，當(dāng)然都是一些亂碼。不過我們雖然無法在瀏覽器中下載，卻可以借用專用的下載軟件來實現(xiàn)數(shù)據(jù)庫的下載，或者將頁面中出現(xiàn)的所有內(nèi)容復(fù)制到一個文本文檔中，然后將這個文檔的后綴名改為“mdb”。
還有一種情況就是站長在數(shù)據(jù)庫的文件名中加入了“#”符號，例如原來的數(shù)據(jù)庫名為123.mdb，加入“#”號后變成“#123.mdb”，這樣當(dāng)我們在地址欄中直接輸入“http://www.***.com/#123.mdb”，是無法下載數(shù)據(jù)庫的，而是顯示“無法找到網(wǎng)頁”。這是因為瀏覽器的編碼格式會默認(rèn)將“#”號變?yōu)椤?23”，這樣就成了另外一個網(wǎng)址，當(dāng)然不可能下載到數(shù)據(jù)庫。那么我們反過來將“%23”替換為“#”，填入到網(wǎng)址中，數(shù)據(jù)庫不就可以正確下載了嗎?