이 기사에서는 SQL 메일 활성화와 관련된 취약점을 살펴보고 이러한 보안 문제를 해결하는 방법을 살펴 봅니다.
SQL 사용자의 경우 쿼리가 데이터베이스 자체에서 처리되기 때문에 데이터베이스 쿼리에 응답하기 위해 이메일 데이터베이스를 활성화 할 수 있습니다. 그러나 애플리케이션에서 이메일 데이터베이스를 활성화하기위한 최소 요구 사항은 다음을 실행하는 것입니다. SQL Server 로컬 관리자 권한에 대한 액세스 권한이있는 도메인 계정으로. 그러나 메일로 활성화 된 SQL 데이터베이스를 사용할 때의 단점 중 하나는 제한된 제한에 따라 누구든지 시스템에서 쿼리 형식으로 데이터를 요청할 수 있고 정보를 얻을 수 있다는 것입니다. 따라서 얻을 수있는 데이터의 양을 제한하는 것이 중요합니다. 이 기능에 대해 주목해야 할 또 다른 중요한 점은 Query가 읽기 전용 요청이 아니라 합법적 인 SQL 문을 의미한다는 것입니다.
M의 일부ost 직면 한 일반적인 취약점 SQL Server
- 쿼리를 읽기 전용 요청으로 간주 할뿐만 아니라 유효한 SQL 문으로 간주하기 때문에 사용자는 정보 획득뿐만 아니라 삽입, 업데이트, 삭제 명령, 객체 생성 및 수정에 사용할 수 있습니다.
- 이 기능의 발신자에게 회신 방식은 요청자를 확인하거나 필요한 권한을 확인하려고 시도하지 않습니다. 그러나 SQL 메일 쿼리에 대한 인증 및 권한 부여 검사를 활성화하여 이러한 문제가 발생하는 것을 방지 할 수 있지만 여전히 무결성이나 기밀성을 보장하지는 않습니다.
- 기능의 보안은 제대로 처리되지 않으며 전적으로 침입자의 무지에 기반합니다. 따라서 메일 계정에 대한 매우 기본적인 지식을 가진 지능형 침입자는 다음에서 구현할 쿼리를 보낼 수 있습니다. tar데이터베이스를 가져옵니다.
어떻게 유지할 수 있습니까? SQL Server Bay의 이메일 취약성
이미 언급했듯이 기능의 보안은 잘못 처리되고 공격자의 무지에 기반하여 사용자는 문자 그대로 공격자가 시스템 취약성을 인식하지 않기를 바랄 수 있습니다. 여기서 끝나는 것이 아니라 사용자가 원할 수있는 훨씬 더 많은 것들이 있습니다. 공격자는 구현되고 취약한 데이터베이스, 쿼리 작성에 사용될 수있는 계정 등을 알지 못합니다. 취약점에 대한 모든 장벽 메일 데이터베이스 기능은 공격자가 얼마나 알지 못하는지에 기인합니다. 무단 액세스로부터 메일 데이터베이스를 보호하기 위해 제안 된 팁 중 하나는 사용 된 계정의 이름이 명확하지 않은 것입니다. 공격자는 권한있는 계정이 너무 분명하다면 간단히 추측 할 수 있습니다. 명심해야 할 또 다른 사항은 다중 데이터베이스 메일을 활성화하는 경우입니다. 각 데이터베이스에 대해 별도의 계정을 추가하십시오. 마지막이지만 최소한은 유지 SQL Server 수정 도구 데이터 손상 사고를 처리하는 데 편리합니다.
주의의 말씀
SQL 주입은 해커가 데이터베이스에 액세스하기 위해 사용하는 또 다른 일반적인 기술이며, 웹 URL을 사용하여 수정을 도입 한 다음 데이터베이스에 액세스하는 시행 착오 방법을 사용합니다. SQL 인젝션에 비해 SQL 메일 데이터베이스는 크래킹이 더 쉽고 공격자가 선호하며 SQL 인젝션만큼 집약적이고 시간이 많이 걸리지 않으므로 항상 계정이 보호되고 사용자 인증 및 권한 부여가 기능에 활성화되어 있는지 확인하십시오.
저자 소개 :
Victor Simon은 DataNumen, Inc.는 다음과 같은 데이터 복구 기술 분야의 세계적 리더입니다. accdb 손상 복구 및 SQL 복구 소프트웨어 제품. 자세한 내용은 WWW.datanumen.COM