Ushbu maqolada biz SQL Mail-ni yoqish bilan bog'liq zaifliklarni ko'rib chiqamiz va bunday xavfsizlik muammolarini hal qilish yo'llarini ko'rib chiqamiz.
SQL foydalanuvchilari uchun ma'lumotlar bazasi so'rovlariga javob berish uchun elektron pochta ma'lumotlar bazasini yoqish mumkin, chunki so'rovlar ma'lumotlar bazasi tomonidan amalga oshiriladi. Biroq, ilovada elektron pochta ma'lumotlar bazasini faollashtirish uchun minimal talab - ishga tushirish SQL Server mahalliy administrator imtiyozlariga ega bo'lgan domen hisobi bilan. Biroq, pochta orqali faollashtirilgan SQL ma'lumotlar bazalaridan foydalanishning kamchiliklaridan biri shundaki, har kim o'rnatilgan cheklovlarga rioya qilgan holda ma'lumotlarni tizimdan so'rov shaklida so'rashi va ma'lumotlarni olishi mumkin. Shuning uchun olinishi mumkin bo'lgan ma'lumotlar miqdorini cheklash muhimdir. Ushbu xususiyat haqida yana bir muhim narsani ta'kidlash kerakki, so'rov shunchaki o'qishni anglatmaydi - faqat so'rov, balki har qanday qonuniy SQL bayonoti.
Eng keng tarqalgan zaifliklarning bir nechtasi duch keladi SQL Server
- U so'rovni faqat o'qish uchun mo'ljallangan so'rov sifatida emas, balki to'g'ri SQL bayonoti sifatida ko'rib chiqayotganligi sababli, foydalanuvchi undan nafaqat ma'lumot olish uchun, balki qo'shish, yangilash, buyruqlarni o'chirish, ob'ektlarni yaratish va o'zgartirish uchun ham foydalanishi mumkin.
- Xususiyatning jo'natuvchiga javob berish usuli so'rovchini tekshirishga yoki hatto zarur avtorizatsiyani tekshirishga urinmaydi. Biroq, siz SQL pochta so'rovi uchun autentifikatsiya va avtorizatsiya tekshiruvlarini yoqish orqali bu sodir bo'lishining oldini olishingiz mumkin, ammo bu baribir butunlik yoki maxfiylikni kafolatlamaydi.
- Ushbu funksiyaning xavfsizligi yomon boshqariladi va butunlay buzg'unchining xabardorligiga asoslangan. Shuning uchun, pochta hisoblari haqida juda oddiy bilimga ega bo'lgan aqlli buzg'unchi maqsadli ma'lumotlar bazasida amalga oshirish uchun so'rov yuborishi mumkin.
Qanday qilib saqlashingiz mumkin SQL Server Baydagi elektron pochta zaifliklari
Yuqorida aytib o'tilganidek, bu xususiyatning xavfsizligi yomon ishlanadi va tajovuzkorni bilmasligiga asoslanadi, foydalanuvchi tajovuzkor tizim zaifliklarini bilmaydi deb umid qilishi mumkin. Bu shunchaki tugamaydi, foydalanuvchi faqat orzu qilishi mumkin bo'lgan yana ko'p narsa bor - tajovuzkor amalga oshirilgan va zaif ma'lumotlar bazalari, so'rovlarni qo'yish uchun ishlatilishi mumkin bo'lgan hisob va boshqalar haqida bilmaydi. Zaiflik uchun barcha to'siqlar. pochta ma'lumotlar bazasi xususiyati tajovuzkorning qanchalik bexabar ekanligidan kelib chiqadi. Pochta ma'lumotlar bazasini ruxsatsiz kirishdan himoya qilish uchun tavsiya etilgan maslahatlardan biri foydalanilgan hisoblar uchun aniq nomlarga ega bo'lmaslikdir. Hujumchilar, agar ular juda aniq bo'lsa, imtiyozli hisoblarni taxmin qilishlari mumkin. Yodda tutish kerak bo'lgan yana bir narsa, agar siz bir nechta ma'lumotlar bazasini pochta orqali faollashtirsangiz; har bir ma'lumotlar bazasi uchun alohida hisoblar qo'shing. Oxirgi, lekin eng kam emas, a saqlang SQL Server tuzatish vositasi ma'lumotlarning buzilishi holatlarini bartaraf etish uchun qulay.
E'tibor bering
SQL in'ektsiyasi - bu ma'lumotlar bazasiga kirish uchun xakerlar tomonidan qo'llaniladigan yana bir keng tarqalgan usul bo'lib, u o'zgartirishlar kiritish uchun veb-URL-lardan foydalangan holda sinov va xato usulidan foydalanadi va keyin ma'lumotlar bazasiga kirish huquqiga ega. SQL Mail ma'lumotlar bazasini SQL in'ektsiyalari bilan solishtirganda buzish osonroq va tajovuzkorlar tomonidan ko'proq afzal ko'riladi, u SQL in'ektsiyalari kabi intensiv va ko'p vaqt talab qilmaydi, shuning uchun har doim hisoblaringiz himoyalanganligini va bu xususiyat uchun foydalanuvchi autentifikatsiyasi va avtorizatsiyasi yoqilganligiga ishonch hosil qiling.
Muallif kirish:
Viktor Saymon - Prezident va Raisi DataNumenMa'lumotlarni qayta tiklash texnologiyalari bo'yicha jahon yetakchisi bo'lgan , Inc accdb buzilishlarini tuzatish va sql-ni tiklash dasturiy mahsulotlar. Qo'shimcha ma'lumot olish uchun tashrif buyuring www.datanumen.com