第3章拒绝服务与数据库安全.ppt

第3章拒绝服务与数据库安全 第3章拒绝服务与数据库安全 3 1拒绝服务攻击概述3 2基于漏洞入侵的防护方法3 3SQL数据库安全3 4SQLServer攻击的防护 3 1拒绝服务攻击概述 3 1 1DoS定义3 1 2拒绝服务攻击的分类3 1 3常见DoS攻击3 1 4分布式拒绝服务3 1 5拒绝服务攻击的防护 3 1 1DoS定义 拒绝服务 英文为 DenialofService 也就是我们常说的DoS 3 1 2拒绝服务攻击的分类 拒绝服务攻击可以是物理的 硬件的 也可以是逻辑的 LogicAttack 也称为软件的 SoftwareAttack 物理形式的攻击如偷窃 破坏物理设备 破坏电源等 物理攻击属于物理安全的范围 不在本书的讨论之列 本书中只讨论后一种形式的攻击 3 1 3常见DoS攻击 1 SYN洪水 SYNflood 2 IP欺骗DoS 3 死亡之ping PingofDeath 4 泪滴 TearDrop 攻击 5 UDPflood攻击 6 Land LandAttack 攻击 7 Smurf攻击 3 1 4分布式拒绝服务 分布式拒绝服务攻击DDOS DistributedDenialofService 是对传统拒绝服务攻击的发展 攻击者向网络服务器发起众多携带非法IP地址的服务请求 服务器在回复该请求后进入等待客户端回传消息的状态 典型的DDoS攻击示意图 被DDoS攻击时的现象 被攻击主机上有大量等待的TCP连接 网络中充斥着大量的无用的数据包 源地址为假 制造高流量无用数据 造成网络拥塞 使受害主机无法正常和外界通讯 利用受害主机提供的服务或传输协议上的缺陷 反复高速的发出特定的服务请求 使受害主机无法及时处理所有正常请求 严重时会造成系统死机 黑客进行DDoS攻击时会经过这样的步骤 1 搜集了解目标的情况 2 占领傀儡机 3 实际攻击 3 1 5拒绝服务攻击的防护 与DoS做斗争 不同的角色有不同的任务 企业网管理员 SP ICP管理员 骨干网络运营商 企业网管理员 1 主机上的设置几乎所有的主机平台都有抵御DoS的设置 总结一下 基本的有几种 1 关闭不必要的服务 2 限制同时打开的Syn半连接数目 3 缩短Syn半连接的timeout时间 4 及时更新系统补丁 2 网络设备上的设置企业网的网络设备可以从防火墙与路由器上考虑 这两个设备是到外界的接口设备 在进行防DoS设置的同时 要注意一下这是以多大的效率牺牲为代价的 对你来说是否值得 1 防火墙 禁止对主机的非开放服务的访问 限制同时打开的SYN最大连接数 限制特定IP地址的访问 启用防火墙的防DDoS的属性 严格限制对外开放的服务器的向外访问 2 路由器以Cisco路由器为例 CiscoExpressForwarding CEF 使用unicastreverse path 访问控制列表 ACL 过滤 设置SYN数据包流量速率 升级版本过低的ISO 为路由器建立logserver 3 ISP ICP管理员 ISP ICP为很多中小型企业提供了各种规模的主机托管业务 所以在防DoS时 除了与企业网管理员一样的手段外 还要特别注意自己管理范围内的客户托管主机不要成为傀儡机 客观上说 这些托管主机的安全性普遍是很差的 很容易成为黑客最喜欢的 肉鸡 因为不管这台机器黑客怎么用都不会有被发现的危险 它的安全管理太差了 还不必说托管的主机都是高性能 高带宽的简直就是为DoS定制的 而做为ISP的管理员 对托管主机是没有直接管理的权力的 只能通知让客户来处理 在实际情况时 有很多客户与自己的托管主机服务商配合得不是很好 造成ISP管理员明知自己负责的一台托管主机成为了傀儡机 却没有什么办法的局面 4 骨干网络运营商 他们提供了互联网存在的物理基础 如果骨干网络运营商可以很好地合作的话 DoS攻击可以很好地被预防 在2000年yahoo等知名网站被攻击后 美国的网络安全研究机构提出了骨干运营商联手来解决DoS攻击的方案 其实方法很简单 就是每家运营商在自己的出口路由器上进行源IP地址的验证 如果在自己的路由表中没有到这个数据包源IP的路由 就丢掉这个包 这种方法可以阻止黑客利用伪造的源IP来进行DoS攻击 3 2基于漏洞入侵的防护方法 3 2 1基于IIS漏洞入侵的防护方法IIS主要有以下5种漏洞 1 ida idq漏洞 2 printer漏洞 3 Unicode漏洞 4 asp映射分块编码漏洞 5 WebDAV漏洞 1 ida idq漏洞 1 漏洞描述 IIS的indexserver ida idqISAPI扩展存在远程缓冲溢出漏洞 攻击者可以利用该漏洞获得Web服务器的System权限来访问远程系统 2 漏洞检测 手工检测 工具检测 IISIndexServerISAPI扩展远程溢出漏洞 3 安全解决方案 为Windows2000操作系统打SP4补丁 为该漏洞安装补丁 删除 ida idq的脚本映射 2 printer漏洞 1 漏洞描述 Windows2000IIS5 0 printISAPI扩展存在缓冲区溢出漏洞 2 漏洞检测 3 漏洞利用 3 Unicode目录遍历漏洞 1 漏洞描述微软IIS4 0 5 0扩展Unicode目录遍历漏洞 2 漏洞利用 3 漏洞检测 4 漏洞利用 5 安全解决方案 4 asp映射分块编码漏洞 1 漏洞描述 Windows2000和NT4IIS ASP映射存在远程缓冲溢出漏洞 2 漏洞检测 3 漏洞利用 4 安全解决方案 5 WebDV远程缓冲区溢出漏洞 1 漏洞描述 MicrosoftWindows2000ntdll dllWebDAV接口远程缓冲区溢出漏洞 2 漏洞检测 3 漏洞利用 4 安全解决方案 6 MicrosoftIIS6 0Web安全漏洞 1 转移根目录 不要把Web根目录建在系统磁盘 C 2 把IIS目录的权限设置为只读 3 如果IIS只用来提供静态网页 既不提供ASP JSP CGI等脚本服务 那么建议删除脚本目录 或者说 删除全部默认安装目录 并禁止任何脚本 应用程序执行 并删除应用程序配置里面的 ISAPI 应用程序 禁止脚本测试等 4 设置安全日志 并把该日志存在一个不显眼的路径下 5 安装网络防火墙 幷禁用除80端口以外所有端口的内外通信连接 6 经常备份 并把备份文件存储在另一台计算机上 7 Windows经典漏洞 1 中文输入法漏洞 2 RPC漏洞 4 Server服务远程缓冲区溢出漏洞 MS06 040 3 RPC接口远程任意代码可执行漏洞 3 2 2基于电子邮件服务攻击的防护方法 1 IMAP和POP漏洞 由于密码脆弱是这些协议的常见弱点 各种IMAP和POP服务容易受到如缓冲区溢出等类型的攻击 2 拒绝服务 DOS 攻击 3 系统配置漏洞 4 利用软件问题 5 利用人为因素 6 特洛伊木马及自我传播 3 2 3注册表入侵的防护方法 注册表根项名称说明 注册表数据类型说明 1 禁止使用注册表编辑器 阻止访问注册表编辑工具属性 对话框 2 删除 远程注册表服务 RemoteRegistryService 入侵者远程入侵注册表需要启用 远程注册表服务 因此为了阻止黑客的入侵 可以将该服务删除 方法是找到注册表中HKEY LOCAL MACHINE SYSTEM CurrentContorSet Services下的RemoteRegistry项 在其上单击鼠标右键 选择 删除 选项 将该项删除后就无法启动该服务了 即使我们通过 控制面板 管理工具 服务 中启动也会出现相应的错误提示 根本无法启动该服务 3 2 4Telnet入侵的防护方法 Telnet的入侵对计算机的危害性比较大 为了防止黑客通过Telnet入侵计算机 我们通常会禁用Telnet服务 然而入侵者可以先与远程计算机建立空连接 然后远程开启Telnet服务 因此防护Telnet入侵 除了禁用Telnet服务之外 还要防范IPC漏洞 禁用建立空连接 首先运行regedit 打开注册表编辑器 找到子项HKEY LOCAL MACHINE SYSTEM CurrentContorSet Control LSA 把RestrictAnonymous DWORD的键值改为 00000001 3 3SQL数据库安全 3 3 1数据库系统概述数据库系统 一般可以理解成两部分 一部分是数据库 按一定的方式存取数据 另一部分是数据库管理系统 DBMS 为用户及应用程序提供数据访问 并具有对数据库进行管理 维护等多种功能 1 数据库系统安全 包含以下两次含义 第一层是指系统运行安全 它包含 法律 政策的保护 如用户是否有合法权利 政策是否允许等 物理控制安全 如机房加锁等 硬件运行安全 操作系统安全 如数据文件是否保护等 灾害 故障恢复 死锁的避免和解除 电磁信息泄漏防止 第二层是指系统信息安全 它包括 用户口令字鉴别 用户存取权限控制 数据存取权限 方式控制 审计跟踪 数据加密 2 数据库系统安全特性 1 数据独立性 1 物理独立性 2 逻辑独立性2 数据安全性 1 将数据库中需要保护的部分与其他部分相隔离 2 使用授权规则 这是数据库系统经常使用的一个办法 数据库给用户ID号和口令 权限 当用户用此ID号和口令登陆后 就会获得相应的权限 不同的用户或操作会有不同的权限 比如 对于一个表 某人有修改权 而其他人只有查询权 3 将数据加密 以密文的形式存于数据库内 2 数据库系统安全特性 3 数据的完整性 1 正确性 2 有效性 3 一致性4 并发控制5 故障恢复 3 3 2SQL服务器的发展 1970年6月 E F Dodd博士发表 ARelationalModeofDataforLargeSharedDataBanks 论文 提出关系模型 1979年6月12日 Oracle公司 当时还叫RelationalSoftware 发布了第一个商用SQL关系数据库 1987年Microsoft Sybase和Ashton Tate三家公司共同开发了SybaseSQLServer 1988年 Microsoft Sybase和Ashton Tate三家公司把该产品移植到OS 2上 后来Aston Tate公司退出了该产品的开发 而Microsoft公司 Sybase公司则签署了一项共同开发协议 这两家公司的共同开发结果是发布了用于WindowsNT操作系统的SQLServer 1993年 将SQLServer移植到了WindowsNT3 1平台上 即微软SQLServer4 2版本发布 在SQLServer4版本发行后 Microsoft公司和Sybase公司在SQLServer的开发方面分道扬镳 取消了合同 各自开发自己的SQLServer Microsoft公司专注于WindowsNT平台上的SQLServer开发 而Sybase公司则致力于UNIX平台上的SQLServer开发 SQLServer6 0版本是第一个完全由Microsoft公司开发的版本 1996年 Microsoft公司推出了SQLServer6 5版本 接着在1998年又推出了具有巨大变化的SQLServer7 0版 这一版本在数据存储和数据库引擎方面发生了根本性的变化 又经过两年的努力开发 Microsoft公司于2000年9月发布了SQLServer2000 其中包括企业版 标准版 开发版 个人版4个版本 从SQLServer7 0到SQLServer2000的变化是渐进的 没有从6 5到7 0变化那么大 只是在SQLServer7 0的基础上进行了增强 2005年微软又发布了SQLServer2005产品 该产品包括企业版 标准版 工作组版 精简版4个版本 3 3 3数据库技术的基本概念 数据库技术是一种计算机辅助管理数据的方法 它研究如何组织和存储数据 如何高效地获取和处理数据 数据库技术产生于20世纪60年代末70年代初 其主要目的是有效地管理和存取大量的数据资源 数据库技术主要研究如何存储 使用和管理数据 数据库技术应用中 经常用到的基本概念有 数据库 DB 数据库管理系统 DBMS 数据库系统 DBS 数据库技术及数据模型 1 数据库 DB 2 数据库管理系统 DBMS 3 数据库系统 DBS 5 数据模型4 数据库技术 3 3 4SQL安全原理 1 第一级安全层次 服务器角色及其主要功能 2 第二级安全层次 它控制用户与一个特定的数据库的连接 在SQLServer上登录成功并不意味着用户已经可以访问SQLServer上的数据库 还需要数据库用户是实际被数据库授予权显得实体 当数据库所有者 db owner dbo 创建了新的存储过程 他将为数据库用户或角色的存储过程分配执行权限 而不是登录 数据库用户从概念上于操作系统用户是完全无关的 但是在实际使用中把它们对应起来可能比较方便 但不是必须的 3 第三级安全层次 1 用户定义的角色用户定义的角色与Windows认证中的组有点相似 每个用户可以是一个或多个用户定义的数据角色中的成员 可以直接应用于如表单或存储过程等系统对象 强烈建议把权限分配给角色而不是用户 以为这将极大地方便分配权限 从而极少导致错误 2 固定数据库角色固定数据库角色允许数据库所有者 dbo 赋予一些用户授权能力 方便管理 抑制一些用户过多的权限 强烈推荐管理员和数据库所有者经常检查这些组的成员资格 确保没有用户被给予了不应得的权限 参考表3 4中的数据库角色 以及对角色主要功能和权限的简要描述 数据库角色及其主要功能 3 4SQLServer攻击的防护 3 4 1信息资源的收集攻击者可能有许多原因来选择潜在的目标 包括报复 利益或恶意 永远不要假定自己的服务器 飞 得太低 以至于不能显示在别人的雷达屏幕上 许多攻击者只是因为高兴而扫描IP范围 假定自己的ISP或内部网路被这些人骚扰了 那就要做最坏的打算 现在评估SQLServ