转:影子鹰安全网
引子:昨天和animator试验了一下,把data.mdb文件改名为data.asp文件后放在wwwroot目录里。然后在IE中输入data.asp路径后,发现IE显示一片空白,右键->察看源文件,跳出记事本,将内容另存为.mdb文件,用ACCESS打开,发现需要密码,也就是说至少文件头被破坏。 1.发挥你的想象力 修改数据库文件名 2.数据库名后缀改为ASA、ASP等 此法须配合一些要进行一些设置,否则就会出现本文开头的那种情况 (1)二进制字段添加(此招我还没有炼成-_-+)。 (2)在这个文件中加入<%或%>,IIS就会按ASP语法来解析,然后就会报告500错误,自然不能下载了。可是如果只是简单的在数据库的文本或者备注字段加入<%是没用的,因为ACCESS会对其中的内容进行处理,在数据库里他会以< %的形式存在,无效!正确的方法是将<%存入OLE对象字段里,这样我们的目的就能达到了。 3.数据库名前加“#” 4.加密数据库 5.数据库放在WEB目录外或将数据库连接文件放到其他虚拟目录下 6.使用ODBC数据源。 7.添加数据库名的如MDB的扩展映射 8:使用.net的优越性 这几个方法中,只有第7和8个是统一性改的,一次修改配置后,整个站点的数据库都可以防止下载,其他几个就要分别修改数据库名和连接文件,比较麻烦,不过对于虚拟主机的朋友也只能这样了! 其实第6个方法应该是第5个方法的扩展,可以实现特殊的功能,但对于不支持.net的主机或者怕设置麻烦的话,还是直接用第5个方法了,而且默认情况下第6个方法,依然可以通过复制连接到同主机的论坛或留言本发表,然后就可以点击下载了(因为这样的引用页是来自同主机的) 9.利用NTFS分区的文件权限设置(by percyboy) (一)实验过程 为了叙述方便,举个具体例子做个实验:应用程序为 /test ,数据库存放在 D:/wwwroot/test/data/db1.mdb,我们已经知道在 ASP.NET 中是以一个叫做 ASPNET 虚拟用户的身份访问数据库的,我们需要给这个账户以特定的 NTFS 权限才能使 ASP.NET 程序正常运行。 为了得到最严格的 NTFS 权限设置,实验开始时我们给程序最低的 NTFS 权限: a) D:/wwwroot/test/data/ 文件夹的给用户ASPNET以如下权限: b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.1 对于某个只包含有“SELECT”命令的aspx程序,上述权限设置运行时无障碍,即:上述权限已经满足这类程序的运行了。 1.2 对于包含有“UPDATE”“INSERT”“UPDATE”等命令的aspx程序, (a) 如果 db1.mdb 是 Access 2000 创建的数据库,出现如下错误: “/test”应用程序中的服务器错误。 (b) 如果 db1.mdb 是 Access XP 创建的数据库,出现如下错误: “/test”应用程序中的服务器错误。 我们放开一些权限, b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.3 放开权限后继续实验, (a) 如果 db1.mdb 是 Access 2000 创建的数据库,出现如下错误: “/test”应用程序中的服务器错误。 (b) 如果 db1.mdb 是 Access XP 创建的数据库,没有出现错误。 (c) 原因初步分析:我们发现在打开 Access 数据库时,同时会在所在目录生成一个同名的 *.ldb 文件,这是一个 Access 的锁定标记。鉴于此,我们猜测,用户 ASPNET 访问 Access 数据库时,也需要生成一个锁定标记,而该目录没有允许其写入,因此出错。至于 Access XP 创建的数据库为什么没有这个错误,原因还不得而知。 我们进一步放开权限, b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.4 继续实验,发现错误已解决,那么上面这个权限就是我们需要放开的“最低权限”。 (a) 如果 db1.mdb 是 Access 2000 创建的数据库,我们会发现一个小问题:生成的 *.ldb 文件不会自己删除,访问后该文件依然存在,但这个问题不会影响 ASP.NET 的正常运行。 (b) 如果 db1.mdb 是 Access XP 创建的数据库,没有出现上面类似问题。 (c) 原因初步分析:我们仅仅是给了 ASPNET 以写入文件夹的权限,没有给它修改的权限,所以文件一旦写入,便无法修改其内容,*.ldb 也就删除不掉了。 如果非要解决这个问题,进一步放开权限为: b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.5 附带着,实验另一种情形:我们把 db1.mdb 在 Access 打开编辑,同时访问 ASP.NET。 (a) 如果 db1.mdb 是 Access 2000 创建的数据库,我们发现并没有出现什么问题。 (b) 如果 db1.mdb 是 Access XP 创建的数据库,出现如下错误: “/zhao”应用程序中的服务器错误。 (c) 原因初步分析:Access 数据库是单用户单线程的数据库,我们在 Access 里面打开编辑数据库文件时其实是以当前 Windows 用户(比如Administrator)身份打开数据库,而 ASP.NET 默认使用的是 ASPNET 虚拟用户(隶属于 Users 组),级别低于 Administrator,无法和 Administrator “抢夺”权限,所以出现冲突错误。至于 Access 2000 忽略这个问题的情形我们也不必做讨论了,可能是 Access 2000 没有考虑那么多因素吧。 1.6 再附带一种情形:将 db1.mdb 的属性改为“只读”,无论是 Access 2000 还是 Access XP 都将分别出现与 1.2 中各自的错误相同的错误提示。 (二)实验结论 (1) 我们首先再次总结一下 Access 数据库文件的 NTFS 权限设置的缘起: 在 ASP.NET 中默认是以一个叫做 ASPNET 的虚拟用户的身份来访问、操作数据库的,你可以在“控制面板”-“管理工具”-“计算机管理”-“本地用户和组”-“用户”中看到这个用户,默认情况下是: 全名:ASP.NET 计算机帐户 使用这么一个隶属于 Users 组的用户来进行文件操作、数据库操作的风险是要比用一个 Administrators 组的用户的风险要小得多,这也是 ASP.NET 在安全方面的一个考虑吧。 既然是这么一个用户需要访问、操作数据库文件本身,那么我们就需要给它一定的 NTFS 权限以允许它的访问。显然没有 NTFS 的权限许可,ASPNET 就无法访问、操作数据库,就会出现上面实验中所看到的那些错误了。 (2) 经过上面的实验,我们已经知道如下的 NTFS 权限设置是可以满足一般需求的: a) D:/wwwroot/test/data/ 文件夹给用户ASPNET以如下权限: b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 同时我们也注意到 db1.mdb 是否为“只读”文件对 ASPNET 的访问也会有一定影响。 (3) 上述权限设置可以直接设置给 ASPNET 用户自己,也可以设置给 Users 组,或者直接给 Everyone 组上述权限都是可以的。因为 ASPNET 隶属于 Users 组,可以通过 用户组 给 ASPNET 设置权限。 (4) NTFS 权限在文件或文件夹右击后得到的“属性”对话框-“安全”选项卡中设置,一般情况下,可以考虑给 Adminitrators 组以“完全控制”的权限,同时不要轻易在“拒绝”中打勾,有关 NTFS 权限设置的技巧,可以咨询网络管理员、网络安全专家的建议。 注:FAT, FAT32 格式的分区中不支持 NTFS 权限。 (5) Windows 2000 系列,Windows Server 2003 系列的“安全”选项卡默认是很容易找到的,但 Windows XP Professional 中的“安全”选项卡默认是关闭的,可以将“控制面板”-“文件夹选项”-“查看”选项卡中的“高级设置”中“使用简单共享(推荐)”一项的“√”去除,“确定”之后,再次按照上面的方法即可看到“安全”选项卡了。 =========== 若你对服务器拥有管辖权,推荐再加上方法9,你的ACCESS数据库的安全性就可以大大提高了。 假设网站被暴库(攻击者通过各种途径取到了数据库的URL)。对于防范较弱的Web系统,这意味着数据库将被攻击者下载回去,网站全部后台数据泄露。 |
数据库暴库整理篇