U ovom članku razmatramo ranjivosti povezane s omogućavanjem SQL Mail-a i razmatramo načine za rješavanje takvih sigurnosnih problema
Za SQL korisnike, omogućavanje baze podataka e-pošte za odgovaranje na upite baze podataka je moguće, budući da upitima rukuje sama baza podataka. Međutim, minimalni zahtjev za aktiviranje baze podataka e-pošte u aplikaciji je pokretanje SQL Server s računom domene koji ima pristup lokalnim administratorskim privilegijama. Međutim, jedan od nedostataka korištenja SQL baza podataka aktiviranih putem pošte je to što svako može zatražiti podatke, podložno postavljenim ograničenjima, od sistema u obliku upita i dobiti informacije. Stoga je važno ograničiti količinu podataka koji se mogu dobiti. Još jedna važna stvar koju treba napomenuti u vezi sa ovom funkcijom je da upit ne znači samo zahtjev za čitanje, već bilo koju legitimnu SQL izjavu.
Nekoliko najčešćih ranjivosti s kojima se suočavamo SQL Server
- Budući da upit ne smatra samo zahtjevom samo za čitanje, već i važećim SQL izrazom, korisnik ga ne može koristiti samo za dobivanje informacija već i za obradu umetanja, ažuriranja, brisanja naredbi, te kreiranja i modificiranja objekata.
- Pristup funkcije odgovora pošiljaocu ne čini bilo kakav pokušaj da se potvrdi podnosilac zahtjeva ili čak da se provjeri potrebna autorizacija. Međutim, možete spriječiti da se to dogodi tako što ćete omogućiti provjere autentičnosti i autorizacije za SQL upit pošte, ali to i dalje neće jamčiti nikakav integritet ili povjerljivost.
- Sigurnost ove funkcije je loše riješena i u potpunosti se zasniva na neznanju o uljezu. Stoga, inteligentan uljez, sa vrlo osnovnim znanjem o email računima, može poslati upit koji treba implementirati u ciljnoj bazi podataka.
Kako možete zadržati SQL Server Pošaljite e-poštu ranjivosti u Bay
Kao što je već pomenuto, bezbednošću ove funkcije se loše rukuje i na osnovu neznanja napadača, korisnik se bukvalno može nadati da napadač nije svestan ranjivosti sistema. Ne završava se samo ovdje, postoji još puno toga što korisnik može samo poželjeti – napadač ne zna za implementirane i ranjive baze podataka, račun koji se može koristiti za postavljanje upita itd. Sve prepreke ranjivosti Funkcija baze podataka pošte proizilazi iz toga koliko napadač nije svjestan. Jedan od predloženih savjeta za zaštitu baze podataka pošte od neovlaštenog pristupa bio bi da nemate stvarno očigledna imena za račune koji se koriste. Napadači mogu jednostavno pogoditi privilegirane račune ako su previše očigledni. Još jedna stvar koju treba imati na umu je, ako omogućavate poštu za više baza podataka; dodajte zasebne račune za svaku bazu podataka. Na kraju, ali ne i najmanje važno zadržati a SQL Server alat za popravku zgodno za rješavanje slučajeva korupcije podataka.
Reč opreza
SQL injekcija je još jedna uobičajena tehnika koju hakeri koriste za pristup bazi podataka, ona koristi metodu pokušaja i greške, koristeći web URL-ove za uvođenje modifikacija, a zatim dobijanje pristupa bazi podataka. SQL Mail baza podataka u poređenju sa SQL injekcijama je lakša za razbijanje, a napadači je više preferiraju, nije toliko intenzivna i dugotrajna kao SQL injekcije, stoga uvijek osigurajte da su vaši nalozi zaštićeni i da je autentifikacija i autorizacija korisnika omogućena za ovu funkciju.
Uvod za autora:
Victor Simon je predsjednik i predsjedavajući DataNumen, Inc., koji je svjetski lider u tehnologijama za oporavak podataka, uključujući popraviti accdb korupciju i sql softverski proizvodi za oporavak. Za više informacija posjetite www.datanumen.com