網(wǎng)站漏洞以及數(shù)據(jù)庫(kù)安全的一些介紹
1.漏洞的普遍性，由于信息產(chǎn)業(yè)的快速發(fā)展，大多數(shù)軟件、網(wǎng)站和信息系統(tǒng)的開(kāi)發(fā)不是從零開(kāi)始的，而是由一些現(xiàn)成的開(kāi)發(fā)平臺(tái)或開(kāi)源代碼開(kāi)發(fā)的。在這種情況下，使用同一系統(tǒng)平臺(tái)或同一開(kāi)源代碼開(kāi)發(fā)的軟件，網(wǎng)站和信息系統(tǒng)往往存在相同或相似的安全漏洞。這種共同或相似的漏洞是通用漏洞。
3.0day漏洞0day漏洞也叫零日漏洞。它指的是已知但廠家尚未修復(fù)的安全漏洞。理論上，攻擊者利用0day漏洞發(fā)動(dòng)攻擊幾乎是不可防御的。但由于很難發(fā)現(xiàn)0day漏洞，一旦安全機(jī)構(gòu)發(fā)現(xiàn)，0day漏洞將立即失效。因此，如果網(wǎng)絡(luò)攻擊者持有0day漏洞，他們通常不會(huì)普通人，而是用于攻擊高價(jià)值目標(biāo)。此外，如果制造商已經(jīng)提供了補(bǔ)丁，但由于各種原因，相關(guān)軟件、系統(tǒng)或設(shè)備沒(méi)有填補(bǔ)這些補(bǔ)丁的漏洞，因?yàn)樗鼈兛梢员挥行У毓艉褪褂茫@將成為Nday漏洞。
隨著大數(shù)據(jù)時(shí)代的到來(lái)，各行業(yè)的信息數(shù)據(jù)存儲(chǔ)量急劇增加，數(shù)據(jù)庫(kù)逐漸從后端發(fā)展到前端，從局域網(wǎng)到互聯(lián)網(wǎng)，從特定的物理事物到虛擬。數(shù)據(jù)庫(kù)廣泛應(yīng)用于各種新場(chǎng)景，但它的發(fā)展也給了黑客更多的入侵機(jī)會(huì)。常見(jiàn)的數(shù)據(jù)庫(kù)漏洞主要包括數(shù)據(jù)庫(kù)特權(quán)提升、數(shù)據(jù)庫(kù)敏感數(shù)據(jù)未加密、數(shù)據(jù)庫(kù)配置錯(cuò)誤。
4.數(shù)據(jù)庫(kù)特權(quán)的提升來(lái)自?xún)?nèi)部黑客的攻擊可能會(huì)使攻擊者擁有額外的系統(tǒng)權(quán)限，而外部黑客可以破壞操作系統(tǒng)以獲得額外的權(quán)限。一般來(lái)說(shuō)，常見(jiàn)的漏洞是關(guān)于數(shù)據(jù)庫(kù)的錯(cuò)誤配置：用戶(hù)被額外授予實(shí)際工作需求的系統(tǒng)、數(shù)據(jù)庫(kù)等訪問(wèn)權(quán)限。此外，即使沒(méi)有數(shù)據(jù)庫(kù)的相關(guān)憑證，內(nèi)部攻擊者或控制受害者機(jī)器的外部攻擊者也可以在應(yīng)用程序和數(shù)據(jù)庫(kù)之間輕松跳轉(zhuǎn)。
5.數(shù)據(jù)庫(kù)敏感數(shù)據(jù)沒(méi)有加密。如果備份磁帶在存儲(chǔ)過(guò)程中意外丟失，信息沒(méi)有加密，一旦丟失，攻擊者可以攻擊數(shù)據(jù)庫(kù)，而無(wú)需使用網(wǎng)絡(luò)。這種攻擊更有可能發(fā)生在向黑客出售數(shù)據(jù)庫(kù)磁帶的內(nèi)部管理員身上，黑客只要安裝磁帶就可以獲得數(shù)據(jù)庫(kù)。
6.在數(shù)據(jù)庫(kù)配置的實(shí)際生產(chǎn)環(huán)境中，由于賬戶(hù)配置參數(shù)或現(xiàn)有漏洞，許多數(shù)據(jù)庫(kù)問(wèn)題通常需要數(shù)據(jù)庫(kù)管理員合理配置參數(shù)。
2.事件漏洞事件漏洞主要是指軟件、網(wǎng)站和信息系統(tǒng)中的特定和獨(dú)特漏洞。這個(gè)漏洞的出現(xiàn)是非常偶然的，只與相關(guān)軟件、網(wǎng)站或信息系統(tǒng)本身的開(kāi)發(fā)過(guò)程和運(yùn)維過(guò)程有關(guān)，不會(huì)在其他地方復(fù)制。例如：常見(jiàn)的弱密碼問(wèn)題、業(yè)務(wù)邏輯漏洞、系統(tǒng)設(shè)置不當(dāng)?shù)葐?wèn)題，一般歸因于事件漏洞。從歷史經(jīng)驗(yàn)來(lái)看，90%以上的軟件、網(wǎng)站或信息系統(tǒng)都存在事件安全漏洞。當(dāng)系統(tǒng)開(kāi)發(fā)平臺(tái)出現(xiàn)安全漏洞時(shí)，幾乎所有使用該平臺(tái)開(kāi)發(fā)的軟件、網(wǎng)站或信息系統(tǒng)都會(huì)同時(shí)出現(xiàn)安全漏洞。
3.0day漏洞0day漏洞也叫零日漏洞。它指的是已知但廠家尚未修復(fù)的安全漏洞。理論上，攻擊者利用0day漏洞發(fā)動(dòng)攻擊幾乎是不可防御的。但由于很難發(fā)現(xiàn)0day漏洞，一旦安全機(jī)構(gòu)發(fā)現(xiàn)，0day漏洞將立即失效。因此，如果網(wǎng)絡(luò)攻擊者持有0day漏洞，他們通常不會(huì)普通人，而是用于攻擊高價(jià)值目標(biāo)。此外，如果制造商已經(jīng)提供了補(bǔ)丁，但由于各種原因，相關(guān)軟件、系統(tǒng)或設(shè)備沒(méi)有填補(bǔ)這些補(bǔ)丁的漏洞，因?yàn)樗鼈兛梢员挥行У毓艉褪褂茫@將成為Nday漏洞。
隨著大數(shù)據(jù)時(shí)代的到來(lái)，各行業(yè)的信息數(shù)據(jù)存儲(chǔ)量急劇增加，數(shù)據(jù)庫(kù)逐漸從后端發(fā)展到前端，從局域網(wǎng)到互聯(lián)網(wǎng)，從特定的物理事物到虛擬。數(shù)據(jù)庫(kù)廣泛應(yīng)用于各種新場(chǎng)景，但它的發(fā)展也給了黑客更多的入侵機(jī)會(huì)。常見(jiàn)的數(shù)據(jù)庫(kù)漏洞主要包括數(shù)據(jù)庫(kù)特權(quán)提升、數(shù)據(jù)庫(kù)敏感數(shù)據(jù)未加密、數(shù)據(jù)庫(kù)配置錯(cuò)誤。
4.數(shù)據(jù)庫(kù)特權(quán)的提升來(lái)自?xún)?nèi)部黑客的攻擊可能會(huì)使攻擊者擁有額外的系統(tǒng)權(quán)限，而外部黑客可以破壞操作系統(tǒng)以獲得額外的權(quán)限。一般來(lái)說(shuō)，常見(jiàn)的漏洞是關(guān)于數(shù)據(jù)庫(kù)的錯(cuò)誤配置：用戶(hù)被額外授予實(shí)際工作需求的系統(tǒng)、數(shù)據(jù)庫(kù)等訪問(wèn)權(quán)限。此外，即使沒(méi)有數(shù)據(jù)庫(kù)的相關(guān)憑證，內(nèi)部攻擊者或控制受害者機(jī)器的外部攻擊者也可以在應(yīng)用程序和數(shù)據(jù)庫(kù)之間輕松跳轉(zhuǎn)。
5.數(shù)據(jù)庫(kù)敏感數(shù)據(jù)沒(méi)有加密。如果備份磁帶在存儲(chǔ)過(guò)程中意外丟失，信息沒(méi)有加密，一旦丟失，攻擊者可以攻擊數(shù)據(jù)庫(kù)，而無(wú)需使用網(wǎng)絡(luò)。這種攻擊更有可能發(fā)生在向黑客出售數(shù)據(jù)庫(kù)磁帶的內(nèi)部管理員身上，黑客只要安裝磁帶就可以獲得數(shù)據(jù)庫(kù)。
6.在數(shù)據(jù)庫(kù)配置的實(shí)際生產(chǎn)環(huán)境中，由于賬戶(hù)配置參數(shù)或現(xiàn)有漏洞，許多數(shù)據(jù)庫(kù)問(wèn)題通常需要數(shù)據(jù)庫(kù)管理員合理配置參數(shù)。
