W tym artykule przyjrzymy się lukom w zabezpieczeniach związanych z włączaniem poczty SQL i przyjrzymy się sposobom obejścia takich problemów z bezpieczeństwem
W przypadku użytkowników SQL możliwe jest włączenie bazy danych poczty e-mail do odpowiadania na zapytania bazy danych, ponieważ zapytania są obsługiwane przez samą bazę danych. Jednak minimalnym warunkiem aktywacji bazy danych poczty elektronicznej w aplikacji jest uruchomienie SQL Server z kontem domeny mającym dostęp do lokalnych uprawnień administratora. Jednak jedną z wad korzystania z baz danych SQL aktywowanych pocztą jest to, że każdy może zażądać danych, z zastrzeżeniem wprowadzonych ograniczeń, z systemu w formie zapytania i otrzyma informacje. Dlatego ważne jest ograniczenie ilości danych, które można uzyskać. Inną ważną rzeczą, na którą należy zwrócić uwagę na temat tej funkcji, jest to, że Query nie oznacza tylko żądania tylko do odczytu, ale wszelkie uzasadnione instrukcje SQL.
Kilka najczęstszych luk w zabezpieczeniach SQL Server
- Ponieważ traktuje zapytanie nie tylko jako żądanie tylko do odczytu, ale także jako poprawną instrukcję SQL, użytkownik może go używać nie tylko do uzyskiwania informacji, ale także do przetwarzania wstawiania, aktualizowania, usuwania poleceń oraz tworzenia i modyfikowania obiektów.
- Podejście funkcji „odpowiedz do nadawcy” nie podejmuje żadnej próby weryfikacji żądającego ani nawet sprawdzenia niezbędnej autoryzacji. Można jednak temu zapobiec, włączając sprawdzanie uwierzytelniania i autoryzacji dla zapytań poczty SQL, ale to nadal nie gwarantuje żadnej integralności ani poufności.
- Bezpieczeństwo tej funkcji jest źle obsługiwane i opiera się wyłącznie na niewiedzy intruza. Dlatego inteligentny intruz, dysponujący podstawową wiedzą o kontach pocztowych, może wysłać zapytanie do zaimplementowania w docelowej bazie danych.
Jak możesz zachować SQL Server Email Vulnerability at Bay
Jak już wspomniano, bezpieczeństwo tej funkcji jest źle obsługiwane, a na podstawie ignorancji osoby atakującej użytkownik może mieć dosłownie nadzieję, że osoba atakująca nie jest świadoma luk w zabezpieczeniach systemu. To nie koniec, ale jest o wiele więcej, o których użytkownik może sobie tylko życzyć - atakujący nie wie o zaimplementowanych i podatnych na ataki bazach danych, koncie, które może posłużyć do tworzenia zapytań itp. Funkcja bazy danych poczty wynika z tego, jak nieświadomy jest atakujący. Jedną z sugerowanych wskazówek, jak chronić bazę danych poczty przed nieautoryzowanym dostępem, byłoby nie posiadanie naprawdę oczywistych nazw używanych kont. Atakujący mogą po prostu odgadnąć uprzywilejowane konta, jeśli są one zbyt oczywiste. Inną rzeczą, o której należy pamiętać, jest włączenie poczty w wielu bazach danych; dodaj oddzielne konta dla każdej bazy danych. Na koniec zachowaj plik SQL Server narzędzie do naprawy poręczny w przypadku przypadków uszkodzenia danych.
Słowo ostrzeżenia
Wstrzyknięcie SQL to kolejna powszechna technika używana przez hakerów w celu uzyskania dostępu do bazy danych, wykorzystuje metodę prób i błędów, wykorzystując adresy internetowe do wprowadzania modyfikacji, a następnie uzyskiwania dostępu do bazy danych. Baza danych SQL Mail w porównaniu z wstrzyknięciami SQL jest łatwiejsza do złamania i preferowana bardziej przez atakujących, nie jest tak intensywna i czasochłonna jak wstrzyknięcia SQL, dlatego zawsze upewnij się, że Twoje konta są chronione, a uwierzytelnianie i autoryzacja użytkownika są włączone dla tej funkcji.
Wprowadzenie autora:
Victor Simon jest prezesem i przewodniczącym DataNumen, Inc., która jest światowym liderem w technologiach odzyskiwania danych, w tym napraw uszkodzenie accdb i oprogramowanie do odzyskiwania sql. po więcej informacji odwiedź www.datanumen.com