Dans cet article, nous examinons les vulnérabilités associées à l'activation de SQL Mail et examinons les moyens de contourner ces problèmes de sécurité.
Pour les utilisateurs SQL, il est possible d'activer une base de données de messagerie pour répondre aux requêtes de la base de données, car les requêtes sont gérées par la base de données elle-même. Cependant, une condition minimale pour activer une base de données de messagerie dans l'application est d'exécuter SQL Server avec un compte de domaine ayant accès aux privilèges d'administrateur local. Cependant, l'un des inconvénients de l'utilisation de bases de données SQL activées par courrier est que n'importe qui peut demander des données, sous réserve des restrictions mises en place, au système sous la forme d'une requête, et obtiendra les informations. Il est donc important de limiter la quantité de données pouvant être obtenues. Une autre chose importante à noter à propos de cette fonctionnalité est que Query ne signifie pas simplement une requête en lecture seule, mais toute instruction SQL légitime.
Voici quelques-unes des vulnérabilités les plus courantes rencontrées dans SQL Server
- Puisqu'il ne considère pas seulement une requête comme une requête en lecture seule mais comme une instruction SQL valide, un utilisateur peut non seulement l'utiliser pour obtenir des informations mais aussi pour traiter l'insertion, la mise à jour, la suppression de commandes et la création et la modification d'objets.
- L'approche de réponse à l'expéditeur de la fonctionnalité ne fait aucune tentative pour vérifier le demandeur ou même pour vérifier l'autorisation nécessaire. Cependant, vous pouvez empêcher que cela ne se produise en activant les vérifications d'authentification et d'autorisation pour les requêtes de messagerie SQL, mais cela ne garantira toujours aucune intégrité ou confidentialité.
- La sécurité de cette fonctionnalité est mal gérée et repose entièrement sur l'ignorance de l'intrus. Par conséquent, un intrus averti, possédant des connaissances rudimentaires des comptes de messagerie, peut envoyer une requête qui sera exécutée dans la base de données cible.
Comment pouvez-vous garder le SQL Server Vulnérabilités de messagerie à distance
Comme déjà mentionné, la sécurité de la fonctionnalité est mal gérée et basée sur l'ignorance de l'attaquant, l'utilisateur peut littéralement espérer que l'attaquant n'est pas au courant des vulnérabilités du système. Cela ne s'arrête pas là, il y a beaucoup plus que l'utilisateur ne peut que souhaiter - l'attaquant ne connaît pas les bases de données implémentées et vulnérables, le compte qui peut être utilisé pour poser des requêtes, etc. Toutes les barrières aux vulnérabilités du La fonction de base de données de messagerie découle du degré d'ignorance de l'attaquant. L'un des conseils suggérés pour protéger la base de données de messagerie contre les accès non autorisés serait de ne pas avoir de noms vraiment évidents pour les comptes utilisés. Les attaquants peuvent simplement deviner les comptes privilégiés s'ils sont trop évidents. Une autre chose à garder à l'esprit est que si vous activez la messagerie de plusieurs bases de données ; ajouter des comptes séparés pour chaque base de données. Dernier point mais non le moindre, gardez un SQL Server outil de réparation pratique pour traiter les incidents de corruption de données.
Un mot d'avertissement
L'injection SQL est une autre technique couramment utilisée par les pirates pour accéder à la base de données. Elle utilise une méthode d'essai et d'erreur, en utilisant des URL Web pour introduire des modifications, puis accéder à la base de données. La base de données SQL Mail par rapport aux injections SQL est plus facile à cracker, et préférée par les attaquants, elle n'est pas aussi intensive et longue que les injections SQL, donc assurez-vous toujours que vos comptes sont protégés et que l'authentification et l'autorisation des utilisateurs sont activées pour la fonctionnalité.
Introduction de l'auteur:
Victor Simon est président et président du conseil de DataNumen, Inc., qui est le leader mondial des technologies de récupération de données, y compris réparer la corruption accdb et produits logiciels de récupération sql. Pour plus d'informations, visitez www.datanumen.com