Бұл мақалада біз SQL Mail-ті қосумен байланысты осалдықтарды қарастырамыз және осындай қауіпсіздік мәселелерін шешу жолдарын қарастырамыз
SQL пайдаланушылары үшін мәліметтер базасының сұраныстарына жауап беру үшін электрондық пошта дерекқорын қосу мүмкін, өйткені сұраныстар дерекқордың өзімен өңделеді. Сонымен, қосымшада электрондық пошта базасын іске қосудың минималды талабы - іске қосу SQL Server жергілікті әкімші артықшылықтарына қол жеткізе алатын домендік есептік жазбамен. Алайда, SQL-поштаны қолдайтын дерекқорларды пайдаланудың бір кемшілігі мынада: кез-келген адам жүйеге сұраныс түрінде берілген шектеулерге байланысты мәліметтерді сұрай алады және ақпарат алады. Сондықтан алуға болатын мәліметтер көлемін шектеу маңызды. Бұл мүмкіндікке назар аударатын тағы бір маңызды жайт, сұрау тек оқуға арналған сұранысты білдірмейді, бірақ кез-келген заңды SQL тұжырымын білдіреді.
Ең көп таралған осалдықтардың бірнешеуі кездеседі SQL Server
- Бұл сұранысты тек оқуға арналған сұраныс ретінде ғана емес, сонымен қатар жарамды SQL операторы ретінде қарастыратындықтан, пайдаланушы оны тек ақпарат алу үшін ғана емес, сонымен қатар кірістіруді өңдеу, командаларды жою, жою, объектілерді құру және өзгерту үшін қолдана алады.
- Жіберушіге жауап беру функциясы тәсіл сұраушыны растауға немесе тіпті қажетті авторизацияны тексеруге тырыспайды. Алайда, сіз мұның алдын алу үшін SQL поштасына сұраныстың аутентификациясы мен авторизация тексерулерін қосу арқылы жол бере аласыз, бірақ бұл әлі де тұтастық пен құпиялылыққа кепілдік бермейді.
- Функцияның қауіпсіздігі нашар өңделген және толығымен бұзушының білмеуіне негізделген. Сондықтан, пошта тіркелгілері туралы өте қарапайым білімі бар ақылды бұзушы мақсатты дерекқорда іске асыру үшін сұрау жібере алады.
Сіз қалай сақтай аласыз SQL Server Электрондық поштадағы осалдықтар
Жоғарыда айтылғандай, мүмкіндіктің қауіпсіздігі нашар өңделген және шабуылдаушының білімсіздігіне негізделген, пайдаланушы қасақана шабуылдаушы жүйенің осалдығын білмейді деп үміттене алады. Бұл мұнымен аяқталып қана қоймайды, пайдаланушының қалауы мүмкін көп нәрсе бар - шабуылдаушы енгізілген және осал мәліметтер базасын, сұраныстар қою үшін пайдаланылатын есептік жазбаны және т. Б. Туралы білмейді. пошта дерекқорының мүмкіндігі шабуылдаушының қаншалықты білмейтіндігінен туындайды. Пошта дерекқорын рұқсатсыз кіруден қорғау үшін ұсынылған кеңестердің бірі пайдаланылған есептік жазбалар үшін нақты атаулардың болмауы болар еді. Шабуылшылар артықшылықты есептік жазбаларды жай ғана болжай алады, егер олар тым айқын болса. Тағы бір ескеретін жайт, егер сіз бірнеше мәліметтер базасын пошта арқылы қоссаңыз; әр дерекқорға бөлек есептік жазбалар қосу. Соңғы, бірақ ең азы емес a SQL Server түзету құралы деректерді бүлдіру оқиғаларымен күресуге ыңғайлы.
Сақтану сөзі
SQL инъекциясы - бұл хакерлер дерекқорға қол жеткізу үшін қолданатын тағы бір кең таралған әдіс, ол модификацияны енгізу үшін веб-URL мекенжайларын қолдану арқылы қателіктер мен қателіктер әдісін қолданады, содан кейін мәліметтер базасына қол жеткізеді. SQL инъекцияларымен салыстырғанда SQL Mail мәліметтер базасын бұзу оңай, және шабуылдаушылар оны артық көреді, бұл SQL инъекциясы сияқты қарқынды және көп уақытты қажет етпейді, сондықтан сіздің есептік жазбаларыңыздың әрқашан қорғалғанына және пайдаланушының аутентификациясы мен авторизациясының қосулы екеніне көз жеткізіңіз.
Автордың кіріспесі:
Виктор Саймон - президент және төрағасы DataNumen, Соның ішінде деректерді қалпына келтіру технологиялары бойынша әлемдік көшбасшы болып табылатын Inc. сыбайлас жемқорлықты жөндеу және SQL қалпына келтіру бағдарламалық жасақтама өнімдері. Қосымша ақпарат алу үшін кіріңіз WWW.datanumen.com