U ovom članku razmatramo ranjivosti povezane s omogućavanjem SQL Mail-a i načine za zaobilaženje takvih sigurnosnih problema
Za korisnike SQL-a moguće je omogućiti bazu podataka e-pošte za odgovaranje na upite baze podataka, budući da upite obrađuje sama baza podataka. Međutim, minimalni zahtjev za aktiviranje baze podataka e-pošte u aplikaciji je pokretanje SQL Server s računom domene koji ima pristup povlasticama lokalnog administratora. Međutim, jedan od nedostataka korištenja SQL baza podataka aktiviranih putem pošte je da svatko može zatražiti podatke, podložno postavljenim ograničenjima, od sustava u obliku upita i dobiti će informacije. Stoga je važno ograničiti količinu podataka koji se mogu dobiti. Još jedna važna stvar koju treba imati na umu u vezi s ovom značajkom jest da upit ne znači samo zahtjev samo za čitanje, već bilo koju legitimnu SQL izjavu.
Neke od najčešćih ranjivosti s kojima se susrećemo SQL Server
- Budući da upit ne smatra samo zahtjevom samo za čitanje, već i važećom SQL naredbom, korisnik ga ne može koristiti samo za dobivanje informacija već i za obradu naredbi za umetanje, ažuriranje, brisanje te stvaranje i modificiranje objekata.
- Pristup značajke odgovor pošiljatelju ne pokušava ni na koji način provjeriti podnositelja zahtjeva ili čak provjeriti potrebnu autorizaciju. Međutim, možete spriječiti da se to dogodi tako da omogućite provjere autentičnosti i autorizacije za upit SQL e-pošte, ali to još uvijek neće jamčiti nikakav integritet ili povjerljivost.
- Sigurnost ove značajke je loše riješena i u potpunosti se temelji na neznanju o uljezu. Stoga, inteligentan uljez, s vrlo osnovnim znanjem o računima e-pošte, može poslati upit koji će se implementirati u ciljnoj bazi podataka.
Kako možete zadržati SQL Server Ranjivosti e-pošte u zaljevu
Kao što je već spomenuto, sigurnošću značajke se loše upravlja i na temelju neznanja napadača, korisnik se doslovno može nadati da napadač nije svjestan ranjivosti sustava. Ne završava samo ovdje, postoji još puno toga što korisnik može samo poželjeti – napadač ne zna za implementirane i ranjive baze podataka, račun koji se može koristiti za postavljanje upita itd. Sve prepreke ranjivostima značajka baze podataka pošte proizlazi iz toga koliko je napadač nesvjestan. Jedan od predloženih savjeta za zaštitu baze podataka e-pošte od neovlaštenog pristupa bio bi da nemate stvarno očita imena za račune koji se koriste. Napadači mogu jednostavno pogoditi privilegirane račune ako su previše očiti. Još jedna stvar koju treba imati na umu je, ako omogućujete više baza podataka za poštu; dodajte zasebne račune za svaku bazu podataka. Posljednje, ali ne i najmanje važno, zadržite a SQL Server alat za popravak pogodan za rješavanje slučajeva oštećenja podataka.
Riječ opreza
SQL injection je još jedna uobičajena tehnika koju koriste hakeri da bi dobili pristup bazi podataka, ona koristi metodu pokušaja i pogreške, korištenjem web URL-ova za uvođenje izmjena, a zatim dobivanje pristupa bazi podataka. SQL Mail bazu podataka u usporedbi s SQL injekcijama lakše je probiti i napadači je više preferiraju, nije toliko intenzivna i ne oduzima puno vremena kao SQL injekcije, stoga uvijek osigurajte da su vaši računi zaštićeni i da je provjera autentičnosti korisnika i autorizacija omogućena za značajku.
Uvod za autora:
Victor Simon je predsjednik i predsjednik DataNumen, Inc., koji je svjetski lider u tehnologijama za oporavak podataka, uključujući popraviti accdb korupciju i softverski proizvodi za oporavak sql-a. Za više informacija posjetite www.datanumen.com