网络安全技术与实训（微课版）（第6版）教案-第4章2-数据库安全及注入攻击

《网络安全技术与实训（微课版）（第6版）》教案人民邮电出版社教师授课教案章节标题第4章拒绝服务与数据库安全单元标题数据库安全及注入攻击（4.2-4.5）授课时长2学时教学目标知识目标能力目标素质目标（含思政目标）了解SQL和MySQL数据库的常见攻击，掌握数据库相关的安全设置，了解注入攻击原理。掌握数据库注入攻击的方法；掌握数据库安全防护的方法。介绍国产数据库，以及国产数据库对于国家信息安全的重要意义，观看国产数据库捷报频传，增强民族自豪感。教学过程：（主要教学环节、时间分配）一、复习(5’)1.复习2.导入二、讲授新课（80’）（1）SQL数据库安全（2）SQLServer攻击的防护（3）SQL注入攻击（4）MySQL数据库安全三、小结(4’)四、布置作业(1’)重点难点：SQL和MySQL数据库的安全技术和原理；SQL的入侵和防护；。教学方法、手段：多媒体教学；案例法；雨课堂推送拓展学习资料。课后作业：课后题3教学后记：1.教学环境要求：需要授课教师使用Win7主机进行授课，并安装VMWARE。安装一个Win7SP1虚拟机（配置PHPStudy）程序，配置DVWA环境。需要将相关工具复制安装到虚拟主机中。2.教学组织方式：采取理实一体的教学组织模式，教学做一体化。3.学生知识储备：学生应具备mysql的基本知识、Python的简单编程、Windows系统管理。

创设情境，引出本节内容导入：从数据库安全问题，引入到SQLSERVER、mysql的攻击防护和SQL注入攻击。思政内容融入点：国产数据库的捷报频传，培养学生民族自豪感。进入重点知识的讲解1.SQL数据库安全(1)数据库技术的基本概念在数据库技术应用中，经常用到的基本概念有数据、数据库、数据库管理系统、数据库系统、数据库技术，以及数据模型。数据数据（Data）是描述事物的符号。在日常生活中，数据无所不在，如数字、文字、图表、图像、声音等都是数据。数据库数据库（Database，DB）是数据存放的地方。在计算机中，数据库是长期存储在计算机内、有组织的、统一管理的相关数据和数据库对象的集合。数据库管理系统数据库管理系统（DatabaseManagementSystem，DBMS）是位于用户与操作系统（OS）之间的用于管理数据的计算机软件，它为用户或应用程序提供访问数据库的方法，包括数据库的建立、查询、更新及各种数据控制等。数据库系统数据库系统（DatabaseSystem，DBS）是实现有组织、动态地存储大量关联数据，方便多用户访问的计算机软硬件和数据资源的系统，它是采用数据库技术的计算机系统。数据库技术数据库技术是研究数据库的结构、存储、设计、管理和使用的一门软件学科。数据模型数据模型是对现实世界的抽象。在数据库技术中，用模型的概念描述数据库的结构与语义，对现实世界进行抽象。数据模型是能表示实体类型及实体间联系的模型。①一种是独立于计算机系统的数据模型，完全不涉及信息在计算机中的表示，只是用来描述某个特定组织所关心的信息结构，这类模型称为“概念数据模型”。②另一种数据模型是直接面向数据库的逻辑结构，它是对现实世界的第二层抽象。这类模型直接与数据库管理系统有关，称为“逻辑数据模型”，一般又称为“结构数据模型”，如层次、网状、关系、面向对象等模型。SQL安全原理第一级安全层次服务器登录是SQLServer认证体系的第一道关卡，用户必须登录到SQLServer，或者已经成功登录了一个映射到SQLServer的系统账号。SQLServer有两种服务器验证模式：Windows安全模式和混合模式。除非必须使用混合模式，否则建议使用Windows安全模式。第二级安全层次控制用户与一个特定的数据库的连接。在SQLServer上登录成功并不意味着用户已经可以访问SQLServer上的数据库，还需要数据库用户来连接数据库。数据库用户是实际被数据库授予权限的实体。当数据库所有者（db-owner，dbo）创建了新的存储过程后，他将为数据库用户或角色的存储过程分配执行权限，而不是登录。数据库用户从概念上与操作系统用户是完全无关的，但是在实际使用中把他们对应起来可能比较方便，但不是必需的。第三级安全层次允许用户拥有对指定数据库中一个对象的访问权限，由数据库角色来定义。用户定义的角色可以更加方便地为用户创建的对象、固定数据库角色和合适的应用角色分配权限2.SQLServer攻击的防护（1）信息资源的收集攻击之前要了解如何查找和渗透SQLServer或基于SQLServer的应用程序。默认情况下，SQLServer使用1433端口监听。1433端口用于供SQLServer对外提供服务，1434用于向请求者返回SQLServer使用了哪个TCP/IP端口。（2）获取账号及扩大权限假定SQLServer搜索是成功的，那么现在有收集到的IP地址、请求名称，以及TCP端口作为资源，然后去获得一些安全环境的信息。（3）设置安全的SQLServer从信息安全和数据库系统的角度出发，数据库安全可以被认为是数据库系统运行安全和数据安全，包括数据库系统所在运行环境的安全、数据库管理系统安全和数据库数据安全。3.SQL注入攻击（1）SQL注入产生的原因SQL注入产生的原因有以下几点。①在应用程序中使用字符串连接方式组合SQL指令。②在应用程序连接数据库时使用权限过高的账户。③在数据库中开放了不必要但权限过大的功能。④信任用户输入的数据，未限制输入的字符数，未对用户输入的数据做指令检查。（2）SQL注入的特点隐蔽性强攻击时间短危害性大（3）SQL注入攻击的危害SQL注入攻击的危害有以下几个方面。①数据表中的数据外泄，如个人机密数据、账户数据、密码等。②数据结构被黑客探知，得以做进一步攻击。③数据库服务器被攻击，系统管理员账户被篡改。④取得系统较高权限后，有可能让黑客得以在网页加入恶意链接及跨站脚本。⑤经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。⑥破坏硬盘数据，使全系统瘫痪。4.MySQL数据库安全（1）Mysql数据库结构MySQL主要分为Server层和引擎层，Server层主要包括连接器、缓存区、分析器、优化器、执行器，以及一个日志模块（binlog）。引擎层是插件式的，目前主要包括MyISAM、InnoDB、Memory等。（2）MySQL主要模块①连接器：主要负责和客户端建立连接、权限获取、管理连接等，由于建立连接的整个过程比较复杂，因此尽量使用长连接。②缓存区：提供数据缓存功能，MySQL接收到客户端请求后首先查询缓存数据，key为SQL语句value查询的结果，如果存在缓存数据，则直接返回；如果没有缓存数据，则进行数据库查找。③分析器：负责对客户端执行的SQL语句进行解析，首先是词法分析和关键字识别，然后进行语法分析，查看当前语句是否符合MySQL语句规则。④优化器通过对客户端的语句进行分析，发现那些查询命中索引，还有表之间的连接顺序等。⑤执行器根据分析、优化后的客户端请求，进行权限判断并调用存储引擎的相关接口，进行数据操作，并返回操作结果。（3）MySQL进行口令攻击流程（4）SQL注入MySQL采用SQL语言作为其管理和操作语言，在Web应用系统中，如果对前端用户提交的数据没有做严格的安全检查就调用数据库去执行，很可能会产生SQL注入攻击。SQL实际的注入过程很复杂，包括注入点判断、注入类型分析，以及实际注入尝试过程等。(5)MySQL数据库防御由于MySQL天然存在上述安全风险，因此在使用过程中需要格外小心，最大可能地堵上所有安全漏洞，构建一个安全、可靠的数据存储系统。修改默认端口不采用MySQL的默认端口作为服务端口，这样可以极大地减少数据库服务对外暴露的风险。设置强密码策略避免采用弱口令方式设置数据库用户口令，使用有效的口令管理策略。SQL