Web数据库安全防护

2024-07-23

Web数据库安全防护（精选12篇）

Web数据库安全防护第1篇

1、Web数据库安全的定义

所谓Web数据库, 又称为网络数据库。其实质是在传统的关系数据库技术之上, 融最新网络技术、数据库技术、存储技术和检索技术为一体, 完全基于Internet应用的数据库结构和数据模型的新型数据库。它开辟了数据库的新时代, 无论是电子商务、网络信息检索系统、还是基于C/S的信息管理系统等都离不开Web数据库技术。

数据库的安全性是指数据库的任何部分都不允许受到恶意侵害或未经授权的存取和修改, 数据库系统必须提供可靠的保护措施, 以确保数据库的安全性[1]。保密性是指保护数据库中的数据不被泄露和未授权的获取;完整性是指保护数据库中的数据不被破坏和删除;一致性指确保数据库的数据满足实体完整性、参照完整性和用户定义完整性要求;可用性指确保数据库中的数据不因人为的和自然的原因对授权用户不可用。

2、Web数据库的安全威胁

Web数据库系统是开放环境下的信息仓库, 管理着大量的数据信息, 面临的安全威胁有很多[2], 比如:

2.1 SQL注入

在SQL注入攻击中, 入侵者通常将未经授权的数据库语句注入到有漏洞的SQL数据信道中。通常情况下, 攻击所针对的数据信道包括存储过程和Web应用程序输入参数, 然后, 这些注入的语句被传递到数据库中并在数据库中执行。使用SQL注入, 攻击者可以不受限制地访问整个数据库。

2.2 审计记录不足

自动记录所有敏感的和/或异常的数据库事务是所有数据库部署基础的一部分。如果数据库审计策略不足, 则单位将在很多级别上面临严重风险。

2.3 拒绝服务

拒绝服务是一个宽泛的攻击类别, 在此攻击中正常用户对网络应用程序或数据的访问被拒绝。可以通过多种技巧为拒绝服务攻击创造条件。例如, 可以利用数据库平台漏洞来制造拒绝服务攻击, 从而使服务器崩溃。其他常见的拒绝服务攻击技巧包括数据破坏、网络泛洪和服务器资源过载等。

拒绝服务攻击背后的动机是多种多样的。拒绝服务攻击经常与敲诈勒索联系在一起, 远程的攻击者不断地破坏服务器直到受害者将资金存入国际银行帐户。另外, 拒绝服务攻击还可能由蠕虫感染引起。无论是由什么原因造成, 拒绝服务攻击对于很多单位来说都是严峻的威胁。

2.4 身份验证不足

薄弱的身份验证方案可以使攻击者窃取或以其他方法获得登录凭据, 从而获取合法的数据库用户的身份。

2.5 备份数据暴露

经常情况下, 备份数据库存储介质对于攻击者是毫无防护措施的。因此, 在若干起著名的安全破坏活动中, 都是数据库备份磁带和硬盘被盗。

3、Web数据库安全性控制的措施

Web数据库虽然面临的安全威胁和存在的安全隐患很多, 但只要我们防范得当, 还是可以在很大程度上保证数据库的安全。因此我们采取以下常规安全措施和非常规安全措施来保证数据库的安全。

3.1 常规安全措施

3.1.1 防火墙

防火墙是位于内部网络和互联网之间的计算机和网络设备中的一个功能模块, 按照一定的安全策略建起来的硬件和软件的综合体, 可以为主机提供保护, 阻止对数据的非法访问。

3.1.2 身份认证

Web数据库系统中包含大量的敏感和机密数据, 必须对来访的用户进行身份认证。用户身份认证是系统提供的最基本的安全保护措施[3]。其方法是由系统提供一定的方式让用户标识自己的名字或身份。每次用户要求进入系统时, 由系统进行核对, 通过鉴定后才提供机器使用权。

3.1.3 访问控制

访问控制是让经过身份认证的合法用户根据权限来访问数据库系统[4], 它的实质是对资源使用的限制, 它决定了只有经过授权的用户才允许访问相应的资源。访问控制主要分为自主访问控制、强制访问控制和基于角色的访问控制等。

3.1.4 审计追踪

审计是一种监视措施, 跟踪记录有关数据的访问活动[5]。审计追踪把用户对数据库的所有操作自动记录下来, 存放在审计日志中。记录的内容一般包括:操作类型 (如修改、查询、删除) , 操作终端标识和操作者标识, 操作日期和时间, 操作所涉及到相关数据 (如基本表、视图、记录、属性等) 等。利用这些信息, 能进一步找出非法存取数据库的人、时间和内容等。

目前还没有一种可行的方法来完全解决合法用户在通过身份认证后滥用特权的问题, 但审计追踪仍是确保数据库安全不可缺少的一道重要防线。

3.1.5 加密

数据安全隐患无处不在。一些机密数据库、商业数据等必须防止他人非法访问、修改、拷贝。数据加密是应用最广、成本最低廉而相对最可靠的方法。数据加密是保护数据在存储和传递过程中不被窃取或修改的有效手段。

数据库加密的数据可以包括四种:表、属性、记录和数据元素, 这也是加密粒度。各种加密粒度的特点不同, 一般来说, 粒度越小灵活性越高, 但实现起来越复杂, 对系统运行效率影响也较大。

3.1.6 备份与恢复

Web数据库一旦发生故障, 就有可能造成数据的丢失, 因此必须采取措施。有了备份就可以恢复数据库的正常运行, 备份和恢复技术[6]是Web数据库的安全运行的重要保障;根据系统的破坏程度可以采取不同的恢复措施。目前硬件上多采用RAID磁盘陈列和双机热备, 软件上采取文件夹同步软件、文件自动备份软件等。

3.2 非常规安全措施

3.2.1 防Web数据库下载

有部分数据库使用者会把从网上下载的网站程序直接在自己的服务器上进行安装, 甚至连说明文件都不进行删除, 更不要说更改数据库路径了。这样黑客就可以通过直接从源码站点下载网站源程序, 然后在本地测试找到默认的数据库, 再通过下载数据库读取里面的用户信息和资料, 找到管理入口进行登陆获得webshell。还有一种情况是由于程序出错暴露了网站数据库的路径, 那么怎么防止这种情况的发生呢?

打开IIS添加一个MDB的映射, 让mdb解析成其他下载不了的文件。具体操作如下:“IIS属性”—“主目录”—“配置”—“映射”—“应用程序扩展”里面添加.mdb文件应用解析, 至于用于解析它的文件大家可以自己进行选择, 只要访问数据库文件出现无法访问就可以了。

这样做的好处是:只要是mdb后缀格式的数据库文件就肯定下载不了;对服务器上所有的mdb文件都起作用。

3.2.2 防SQL注入

SQL注入攻击的基本原理, 是从客户端合法接口提交特殊的非法代码, 让其注入到服务器端执行业务的SQL中去, 进而改变SQL语句的原有逻辑和影响服务器端正常业务的处理。SQL注入攻击是Web应用中一个重要的安全问题。因此, 所有的SQL注入都是从用户的输入开始的。我们主要采取以下措施来防止SQL注入。

(1) 永远不要信任用户的输入。对用户的输入进行校验, 可以通过正则表达式, 或限制长度;对单引号和双“-”进行转换等。

(2) 永远不要使用动态拼装sql, 可以使用参数化的sql或者直接使用存储过程进行数据查询存取。

(3) 永远不要使用管理员权限的数据库连接, 为每个应用使用单独的权限。

(4) 不要把机密信息直接存放, 加密或者hash掉密码和敏感的信息。

(5) 应用的异常信息应该给出尽可能少的提示, 最好使用自定义的错误信息对原始错误信息进行包装。

防下载、防注入这是从Web数据库安全的角度出发实施的非常规措施。

4、结语

Web数据库的安全问题涉及多个方面, 这是一个全局性的课题, 新的威胁会不断地出现, 想要建立完美的安全体系是困难的, 实际的Web数据库系统会采取多种技术来构建安全体系。访问连接技术也会不断更新, 我们在具体应用中可以采用合适的技术, 选择得恰当也会减少安全问题。总之, 我们需要采取各种措施和策略来确保Web数据库的安全。

摘要：如今, 数据库的安全成为了人们关注的头等大事, Web数据库的安全更是受到了严重威胁, 因为一涉及到网络, 黑客就能够通过网络进入别人的数据库, 安全就得不到保障。本文从Web数据库安全的定义、Web数据库的安全威胁出发, 同时采取常规措施和非常规措施来保证Web数据库的安全。

关键词：Web数据库,数据库安全,措施

参考文献

[1]刘启原, 刘怡.数据库与信息系统的安全[M].北京:科学出版社, 2000.

[2]罗明.基于Web数据库访问连接技术的安全策略研究[J].科技创新导报, 2009, (32) :25-28.

[3]詹天成.Web数据库现状与发展[J].软件导刊2008, 7 (8) :73-74.

[4]王佳.Web数据库系统几点安全研究[J].科技创新导报, 2008, (11) :11-13.

[5]程永奇, 叶飞.Web数据库安全技术与应用[J].信息科学, 2009, (24) :36-37.

数据库防脚本注入WEB安全第2篇

using System;

using System.Collections.Generic;

using System.Text;

namespace NZS.Common

{

public class Filter

{

///

/// 检测是否含有危险字符(防止Sql注入)

///

预检测的内容

/// 返回True或false

public static bool HasSqlKeywords(string contents)

{

bool ReturnValue = false;

if (contents.Length >0)

{

string LowerStr = contents.ToLower();

System.Text.RegularExpressions.Regex Rx = new System.Text.RegularExpressions.Regex(RxStr);

ReturnValue = Rx.IsMatch(LowerStr, 0);

}

return ReturnValue;

}

///

/// 过滤 Sql 语句字符串中的注入脚本

///

传入的字符串

/// 过滤后的字符串

public static string SqlFilter(string str)

{

str = str.Replace(“””, “‘’”);

//单引号替换成两个单引号

str = str.Replace(“‘”, “‘”);

//半角封号替换为全角封号，防止多语句执行

str = str.Replace(“;”, “;”);

//半角括号替换为全角括号

str = str.Replace(“(“, “(”);

str = str.Replace(“)”, “)”);

///////////////要用正则表达式替换，防止字母大小写得情况////////////////////

//去除执行存储过程的命令关键字

str = str.Replace(“Exec”, “”);

str = str.Replace(“Execute”, “”);

//去除系统存储过程或扩展存储过程关键字

str = str.Replace(“xp_”, “x p_”);

str = str.Replace(“sp_”, “s p_”);

//防止16进制注入

str = str.Replace(“0x”, “0 x”);

return str;

}

WEB网络数据库安全体系构建研究第3篇

关键词：WEB数据库；网络数据；安全体系

中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2011) 08-0000-01

The Construction Research of Web Database Security System

Cha Wenli

(Nanchang Institute of Technology,Nanchang330108,China)

Abstract:This paper WEB-based database system network security system for the study,analyzed the relevant database system based on WEB technology,a network security policy database system was discussed,

Finally,the database system,the establishment of network security system Program.

Keywords:WEB database;Network data;Security system

网络数据库相关安全机制的研究随着网络和数据库技术的发展而不断深化，网络数据库的安全管理日益

成为人们关注的焦点之一。本文从操作系统级、web服务器级、Web应用程序级三个层次探讨Web数据库应用系统的安全问题。

一、常见的网络数据库系统

数据库应用系统是系统开发人员利用数据库系统资源开发出来面向某一类信息处理问题而建立起来的软件系统。数据库系统有5部分组成：硬件系统、数据库集合、数据库管理系统及相关软件（如支持其运行的操作系统等）、数据库管理员和用户。其中数据库管理系统是数据库系统的核心组成部分。数据库系统层次关系如图1所示。

目前网络中两种最常见的数据库系统模式：客户机/服务器系统（client/server）和分布式数据库系统（Distributed Database System）。

（一）客户机/服务器系统。客户机/服务器系统即通常所说的C/S模式，它是一种新型的计算机应用模式，以网络环境为基础，将计算机应用有机地分布在多台计算机中的结构。客户机/服务器系统是计算机网络环境中比较常见的一种数据库体系结构，尤其在WWW迅猛发展的今天，大多数的Web服务器采用的都是这种结构，但在具体应用中可能有一些结构上的差异。

（二）分布式数据库系统。分布式数据库系统是数据库技术和网络技术互相促进和有机结合的结果，分布式系统通常由计算机网络联结起来，网络上每个节点的数据库都有自治能力，能够完成局部应用；同时每个节点的数据库又属于整个系统，通过网络也可以完成全局应用。分布式数据库系统的体系结构是分布式控制的。其中每一个节点都不处于中心位置，是相互平等的，无前台、后台或客户、服务器之分，每个节点具有相同的功能。

二、Web数据库安全体系的建立

根据上述安全策略，安全数据库管理系统模型的结构如图2所示。系统的整个体系主要有两部分构成：管理程序和各具体业务处理模块。管理程序负责整个系统的协调调度，具体业务则由相应功能模块处理。

（一）安全数据库管理系统的管理程序。安全数据库管理系统的管理程序是本系统的协调管理模块，运行于Web服务器上，主要作用是：完成客户端的请求响应交给认证模块处理、与数据库服务器交互的数据进行处理并发送、访问者的日志记录及参数的传递。

（二）身份认证。在身份认证模块中建立用户角色表，它与用户在角色存取控制的角色相对应。为了应用方便，可以将用户群体分为一般用户身份和特殊用户身份两个用户角色群体，身份认证模块根据用户发来的请求查询其角色数字，判断出请求者是属于一般用户群还是属于特殊用户群，然后调用不同的认证技术对访问者进行身份认证。没有通过认证的返回拒绝消息，通过认证者经角色存取授权模块的处理去访问数据库中的相应数据项。

（三）日志记录。在一个安全性因素很重要的系统中，一定要用日志记录访问行为，日志是用于记录用户访问的文件，用于记录访问者的访问路径、IP地址、访问时间、身份认证情况等，同时数据库本身也提供日志记录。可以把二者结合起来使用。日志记录对于安全十分重要，管理员可以通过对日志的维护了解用户所进行的操作，另外日志记录也是进行安全入侵检测的必须输入数据。

攻击者如果想获得对于某个系统的访问权，可以通过删除或修改日志记录来试图掩盖他们的行踪。因此建立一个安全的日志，使得它比存储在可能被攻击的远程主机上的简单的文本文件更难于修改，无疑是非常重要的。实现日志记录的方法很多，这取决于具体的需要。日志记录的两个可能需求是：

1.记录日志后没有消息会丢失。

2.在事实发生后，没有消息能被伪造。

为了使日志记录的消息不会丢失，可以将记录消息放在一台分离主机上的数据库中，允许对数据库的添加和读取，但不允许对数据的修改。日志记录的安全性依赖于数据库的安全性，通过数据库的连接进行加密和使用客户端认证，可以知道当入侵行为发生时，日志记录也是安全的。

为了使事件发生后的消息不能被伪造，可以对每一个日志的条目加盖时间戳（或者为了提高效率对其进行批处理），这种方法不需要一台分离的日志记录主机。这样做虽然有攻击者删除日志条目来掩盖其踪迹的风险，但是至少可以确信不能在当前时间插入任何日志记录。

三、结束语

在网络环境下，随着黑客攻击技术的不断提升，保护网络数据库的安全更是个高难度的课题。对于网络数据库安全这一领域，仍然有很多工作有待于更深入的研究，本文对数据库安全体系的研究方案是有效的，因为它给数据库提供了最大的保护。所有安全的各个方面都给予了考虑，涉及到了机密性，访问控制，完整性，抗抵赖性的认证等。

参考文献：

[1]陈丽.数据库安全模型的设计[J].微计算机信息,2007,9

[2]姜启涛.网络数据库的安全及优化[J].计算机与信息技术,2006,10

诌议Web数据库系统安全第4篇

1.1 数据库系统的安全性

信息管理员 (DBA) 的一个重要责任是保证数据库的可靠性, 程序和过程在遇到机器故障、程序错误和人为错误是能够提供数据的可靠性。对于单用户和个人数据库来说, 没有这个要求。过程应能定期对数据库进行备份从而保证丢失的工作得以保存。

对多用户环境来说, 情况有些复杂。首先, 用户并发地处理数据库, 相互之间可能会有影响。此外, 故障发生的恢复也较复杂。简单的重新执行事务是不可取的, 这不仅是因为需要涉及手工工作的复制问题, 而且也因为再处理的结构可能与原来结构有所不同。如果这样, 在第一次处理时创建的结果与第二次处理的就不相同。

DBA为保证数据的安全可靠性所做的主要工作大致如下: (1) 创建用户和用户组并进行权限管理; (2) 制定备份或转储数据库; (3) 定期备份或转储数据库; (4) 发生故障时恢复数据库。

对数据库的攻击, 主要有直接攻击和间接攻击, 直接攻击比较好防备, 而间接攻击相对来说就困难多了, 一个数据库安全性的好坏主要体现早对间接攻击的防范策略上。可以采用有限制的响应封锁, 以及响应追踪等多种方法防范间接攻击, 有时为了某些数据的安全不得不拒绝服务或提供一些不准确的信息。

数据库安全问题主要集中在数据共享问题上。除了一般意义上的对数据资源的存取控制问题外, 数据库管理系统本身的可信度更是重要的问题, 同时数据库本身的可信度也直接关系到数据库的安全可靠。

1.1.1 数据库的完整性

一方面数据库管理系统要提供完整的约束条件来保证数据库中数据的正确性。另一方面, 由于数据库是资源共享, 必然存在并发操作, 而且可能会并发存取相同的数据。因此, 数据库管理系统应该能对并发事务加以控制, 保证数据的一致性, 相容性和数据库的完整性。

1.1.2 数据库的存取控制

保证数据库中数据的安全性, 主要依靠存取控制机制, 限制一些用户, 使其只能对数据库某些授权的子集进行存取或修改, 同时也限制非法用户对数据库的任何访问行动, 以免数据丢失或泄露。

1.1.3 备份服务器

在一些大型数据库 (VLDB) 中, 对数据及日志的有效存储和装载可以确保用户管理和操纵VLDB。备份服务器一般完成对数据的连接备份:联机备份、转储备份、异地转储。

1.1.4 安全服务器

对于安全性要求较多的行业, 安全服务器可以实现更强功能的安全管理: (1) 符合标准符合NCSC B1级和ITSEC/E3 (B1) 级安全标准。 (2) 强化服务器安全性安全性在服务器被加强, 从而消除在客户端加强的需要。 (3) 受损存取支持在同一数据库 (甚至在同一表) 内存储在许多不同安全级别上的数据的受控存取, 取消昂贵的数据冗余。 (4) 访问控制支持自主访问控制 (D A C) 和强制访问控制 (Mandatory Access Control:MAC) 的强制安全性。 (5) 审计和检测提供用户对综合审计进行追踪的管理能力。 (6) 多级授权描述支持多级和单级用户。 (7) 数据监听服务器。

数据库监听服务器补充RDBMS已有的安全功能, 使企业可控制不同层次的审计和注册安全性, 实现登录安全和多种层次的审计控制, 并支持用户有效性验证和与场地有关的加密计算法。

2 网络安全问题

要保证网络的安全, 必须要妥善解决两方面的问题:一是保护自己内部的网络免受外部的入侵;二是防止内部信息的泄密。防火墙是对付内、外部攻击主要屏障。最新的代理服务器或防火墙允许从机构内部向外部访问Internet上的资源, 而对于从Internet上对机构内部专用网络上的机构访问加以有效的控制。

2.1 防火墙技术

实现防火墙的技术有:数据包过滤、应用网关、代理服务: (1) 包过滤技术。在网络适当位置对数据包实施有选择的通过, 只有满足过滤逻辑的数据包才被转发, 否则被禁止。利用包过滤技术可以防止黑客利用不安全的服务对内部网络进行攻击。 (2) 应用网关技术。应用网关是建立在网络应用层上的协议过滤和转发技术, 针对特别的网络应用协议指定数据过滤逻辑, 并将数据分析结果采取措施, 进行登记和统计, 形成审计报告。应用网关不允许不同类型的通信流通, 而且对每个应用采取专用的限制。该方法对每种应用都提供了专门的用户程序和用户接口, 因此工作量大, 不灵活而且效率低, 但比较安全, 通常由一台专用计算机来实现, 是内外网络连接的桥梁。 (3) 代理服务技术。代理服务是设置在Internet防火墙网关的专用应用级编码。包过滤和应用网关技术仅仅依据特定的逻辑检查来决定是否允许特定的数据包通过, 一旦特定的网络数据流满足这一逻辑, 则防火墙内外的计算机网络建立直接联系, 因而保留了防火墙外部网络系统直接了解防火墙内部网络结构和运行状态的可能。

2.2 数据加密技术

加密技术用于网络安全通常有两种形式:一种是面向网络, 另一种是面向服务。

2.3 网络安全一体化安全解决方案

防火墙型系统比较适合相对独立、与外部网络互联途径有限并且网络服务种类相对集中单一的网络系统。常见的I nter net与Intranet的连接属于此类。但防火墙技术原理上对来自网络内部的安全威胁不具备防范作用, 并且常常需要有特殊的、相对较为复杂的网络拓扑结构来支持, 因而对网络安全功能的加强往往是以网络服务的灵活性、多样性和开发性为代价, 并且需要较大的网络管理开销。由于防火墙技术的实施相对简单, 因此是目前应用较广的网络安全技术。

以数据加密和用户确认为基础的开放型安全保障技术的特征是, 利用现代的数据加密技术来保护网络系统中包括用户数据在内的所有数据库, 只有指定的用户和网络设备才能对经过加密的数据进行解密。它不需要特殊的网络拓扑结构的支持, 实施代价主要体现在软件的开发和系统运行维护等方面, 在数据传输过程中不对所经过的网络路径的安全程度有所要求, 能真正实现网络通信过程中的端对端的安全保障。因而, 可以认为是一种比较好的网络安全问题一体化解决方案。

3 结语

安全系统总是在最薄弱环节遭到攻击, 所以一定要设计坚实的体系结构, 所有用户要坚持系统安全制度, 安全制度与系统体制结构相辅相成。用户是否具有安全意识是关系到系统安全性的一个很重要的因素。

摘要：随着计算机在各个领域的广泛应用, 数据库管理系统担负着集中处理大量信息的使命。数据在计算机系统中的集中存放和管理的主要问题, 除了功能和性能方面的技术问题, 最重要的问题就是数据库中数据的安全问题。如何提供充分的服务, 同时又保证关键的信息不会被泄露出去, 这是信息安全系统的任务, 也是数据库系统的主要任务之一。本文笔者对Web数据库系统安全作出了相关的探讨。

关键词：Web数据库,安全问题,网络安全,措置

参考文献

Web数据库安全防护第5篇

server_v1=Cstr(Request.ServerVariables(“HTTP_REFERER”))

server_v2=Cstr(Request.ServerVariables(“SERVER_NAME”))

ifmid(server_v1,8,len(server_v2))server_v2then

response.write“

”

response.write“”

response.write“你提交的路径有误，禁止从站点外部提交数据请不要乱该参数!”

response.write“”

response.end

自动备份Web网站数据库第6篇

调整运行账号名称

为了能够让备份数据库的任务计划正常运行，笔者不得已在每次调整administrator账号的访问密码后，都要采用手工方法打开目标任务计划的属性设置窗口，修改任务计划中的对应运行账号密码；可是每次调整administrator账号的访问密码，都要对任务计划属性参数进行重复的修改，显然这样的重复劳动既浪费时间，又会影响工作效率，严重的话还能导致备份操作无法及时完成；那么如何才能让任务计划的运行避免上面的麻烦呢?

起初，笔者想单独创建一个具有超级管理员权限的用户账号，并利用该账号专门运行备份数据库的任务计划，可是这种想法很快被单位领导否定了，因为这与单位重新调整的安全策略是格格不入的。经过前思后想，笔者终于想出了一个折中的办法，那就是在Web服务器系统中手工创建一个backup账户，并将账号调整到Backup Operators用户组中，日后以backup账户来完成网站数据库的备份任务。想到做到，笔者立即在Web服务器所在主机系统中，用鼠标右键单击系统桌面上的“我的电脑”图标，从弹出的快捷菜单中执行“管理”命令，打开对应系统的计算机管理窗口；在该管理窗口的左侧列表区域，依次展开“系统工具”｜“本地用户和组”｜“用户”分支选项，同时用鼠标右键单击“用户”分支选项，并执行快捷菜单中的“新用户”命令，打开新用户创建对话框，在这里输入backup账号名称以及密码信息(如图1所示)，单击“创建”按钮完成新账号的创建任务；接着用鼠标右键单击刚刚创建成功的backup账户，从弹出的快捷菜单中执行“属性”命令，打开backup账户的属性设置对话框，单击其中的“隶属于”标签，打开如图2所示的标签设置页面，在这里单击“添加”按钮，将BackupOperators用户组选中并添加进来，再单击“确定”按钮，那样一来backup账户就被授予Backup Operators组权限，而在默认状态下Backup Operators组的成员可以备份和还原对应主机系统上的文件。获得了备份文件的权限后，笔者打开了任务计划列表窗口，选中备份数据库的任务计划，进入该任务计划的属性设置窗口，在其中将运行账户从administrator账号调整为backup账号，那样的话我们每次调整administrator账号的访问密码时，备份网站数据库文件的任务计划就不会受影响了。

任务运行仍然失常

原以为上面的设置操作可以让备份数据库的任务计划自动运行了，可是笔者改天上班后进行检查时，发现目标任务计划并没有调用运行特定备份程序，来对Web服务器的数据库文件进行自动备份；检查对应系统的运行日志时，笔者看到系统跳过了“db backup，bks”文件，同时提示说没有发现特定的文件夹，为什么会出现这种情况呢?立即登录百度网站进行相关信息的查询，发现这种故障现象主要是Backup Operators用户组下面的成员，在默认状态下都无法对网站数据库文件“db backup，bks”进行访问读取，从而造成了系统无法找到特定文件夹的假象。既然backup账户不能读取“dbbackup.bks”文件，那么现在只要想办法将该文件的读取权限直接授予backup账户，不就能解决问题了吗?想到这一点，笔者立即打开Web服务器所在主机系统的资源管理器窗口，从中依次展开“NT”、“Ntbackup”、“data”等文件夹，选中目标文件夹中的“db_backup.bks”文件，并用鼠标右键单击该文件图标，从弹出的右键菜单中点选“属性”命令，打开“db backup.bks”文件的属性设置对话框；点击其中的“安全”标签，弹出如图3所示的标签设置页面，在该页面中单击“添加”按钮，打开用户账号选择对话框，从中将backup账户选中并导入进来，之后再将刚刚添加的backup账户选中，同时将对应账号的读取权限设置为“允许”，最后单击“确定”按钮执行设置保存操作。

授予backup账户读取权限后，笔者原以为这次努力肯定能够解决问题了；然而让笔者没有想到的是，第二天再次检查数据库文件的备份情况时，发现任务计划在运行过程中弹出了“无法写入”的故障提示。

任务计划自动运行

既然系统弹出“无法写入”的提示信息，难道是Backup Operators组用户在默认状态下也没有写入“dbbackup.bks”文件的权限吗?再次打开“db backup，bks”文件的属性设置对话框，进入其中的“安全”标签页面，笔者果然发现Backup Operators组用户的写入权限处于“拒绝”状态，将该账号的写入权限重新调整为“允许”，同时采用手工方式运行备份数据库的目标任务计划，这一次系统没有弹出任何错误提示，而且没有多长时间，备份程序就将相关数据信息写入到目标文件夹中了，这说明目标任务计划已经能够正常运行了。过了几天，再次检查目标任务计划的运行情况时，笔者发现它都能自动对网站数据库文件进行备份操作了，这就意味着任务计划终于可以自动运行了。

Web数据库安全体系构建策略探讨第7篇

1 Web数据库的安全隐患分析

1.1 自然因素带来的安全隐患

在Web数据的应用中自然因素带来的安全隐患是相对较少的, 因为自然因素所带来的Web数据的安全隐患中, 常见的有单站点故障与网络故障等等。简单的说, 就是需要在自然事故发生的时候为Web数据库带来的故障隐患。对于自然因数带来的威胁和隐患, 要考虑的就是如何在故障发生的时候进行恢复以及有效的保障系统的运行。

1.2 人为因数带来的安全威胁

相对而言, 对于Web数据库来讲, 人为因数带来的安全隐患相当多, 并且人为因素所带来的安全隐患还有着变化性较多与不确定性的特点。

1.3 黑客攻击带来的安全威胁

部分黑客为了能够获得Web数据中的各种数据或者是对系统的正常工作进行干扰, 会采用多种方式来对Web数据库的安全带来威胁。例如黑客可以将修改之后的数据发送给使用者或者是服务器, 对正常工作进行扰乱;或者是黑客可以对网络协议以及操作系统的漏洞进行利用, 通过这些漏洞来绕过Web数据库系统对数据库文件进行直接访问, 并对数据库中的数据进程操作。

1.4 计算机病毒带来的安全威胁

随着网络的发展, 计算机病毒也得到了快速发展, 其种类与传播速度都变的更多、更快速, 传播的范围也更加的广泛。同时随着计算机技术的发展, 病毒也更加的复杂与多变, 并且其破坏与攻击能力也变得越来越强。

1.5 网络安全环境本身的脆弱性也会为Web数据库的安全带来威胁

从网络环境上来看, 因为网络自身的开放性以及当前采用的通信协议的不完善, 都使得网络安全环境变得较为脆弱, 这就让数据库本身就置于一种不可靠的环境中。

1.6 数据库应用系统自身存在的安全隐患

数据应用系统自身的安全隐患主要有非法的用户使用者使用了其没有的权限对数据库进行了操作, 还有其所获得权限并不是经过了正规的授权系统所获得的权限。

2 Web数据库安全体系构建措施

2.1 确保物理上的安全

确保物理上的安全是构建安全体系的最基本的内容。物理上的安全主要包括了Web数据库本身的安全以及其所在的物理环境的安全, 同时还需要保证其物理链路的安全。例如为服务器所在的网络的网线、交换机环境提供良好的物理安全;必须要确保在物理上能够接触到数据库服务器的只有数据库的管理员;能够避免利用社会工程学的方法来欺骗或者是诱导获取物理访问上的能力。同时还必须要具备一定的抗灾能力。

2.2 对用户进行标识与鉴别

对用户的身份标识与鉴别是非常重要的内容, 这是为Web数据库中的敏感数据与机密数据安全的提供的重要保证。基于此, 用户标识与鉴别就成为了Web数据库安全体系中的基本内容。每一次用户在要求进入到系统中的时候, 都要经过系统的核对, 并在鉴定无误之后才可以为其提供相应的使用权。在当前, 可以使用的对用户身份进行进行鉴别的方式主要有: (1) 利用用户口令来进行身份认证; (2) 建立在一次性口令上的身份认证; (3) 建立在数字证书基础上的身份认证; (4) 建立在个人特征基础上的身份认证。这四种身份认证基础上的验证方式在具体的应用领域中有着各自不同的应用范围, 并且其所提供的安全行也不同, 因此需要根据具体的情况来选择用户身份的认证方式。

2.3 构建起完善的的安全模型

安全措施需要贯穿于用户对数据进行使用的整个过程, 即使是其对后台数据库进行访问都必须要经过必要的安全认证。用户在对数据库进行访问的过程中, 首先就需要通过数据库应用进入到数据库中, 在这个过程中数据库应用程序会将用户所提交的用户名以及口令 (口令密文) 传递给数据库管理系统, 通过该系统进行认证。用户只有在其身份确认了之后才能够开展下一步的操作活动。如果想要操作数据库中的对象, 首先就需要通过相应的身份认证, 如果没有通过认真, 那么就不能进入到操作环节中。对于通过了身份认证的用户, 只有在其获得了数据库的“凭证”才能够采取对应的操作。在这个过程中对于“访问控制”与“存取控制”的全线分配以及约束都应该有相当严格的要求。其中访问控制与应用系统之间密切相关, 访问控制系统决定了用户可以对应用系统中的哪一些模块以及模块中的哪一些工作流程来开展管理;存取控制所决定的是用户在操作的过程中可以具体进行操作的对象, 以及所可以采取的操作方式。访问控制与存取控制是数据库中最为常用的安全措施, 可以将用户对于系统的访问以及操作控制在一个最小的范围之中。但是就从数据库本身来看, 通过这种视图、触发器、存储过程的方法对数据以及一些较为敏感的信息运用“加密存储”也是数据库管理系统中的一种安全的策略。

2.4 审计追踪

审计就是将用户的对数据所进行的访问活动以及操作活动进行跟踪和记录。用户从其访问数据库, 通过认证后对于数据中数据的访问、以及操作等, 这些内容都被自动的记录下来, 并将这些信息存放到审计日志中。所记录的内容有很多, 例如操作类型、操作终端标识、操作者、操作的日期以及操作的具体时间、操作的过程中访问的数据以及具体的操作。通过这些信息能够找到非法操作数据库的人、时间以及内容等等。虽然当前还没有一种可靠的方法来对用户在通过了身份认证之后滥用特权的问题, 但是审计追踪仍然在数据库安全体系中有着相当重要的作用。

2.5 事务管理与数据恢复

加强事务管理以及做好数据恢复就是为数据以及事务的一致性提供良好的保证, 更好的应对各种自然因素以及物理上的破坏导致的安全威胁。

要恢复数据就需要对日志记录以及数据进行备份。在Web数据库系统之中, 事务都是先分解为多个子事务, 然后将这些子事务分送到不同的服务器站点上进行执行, 在这个过程中保证事务的完整性是利用一定的算法来对这些服务器进行进行分布式的并发控制与提交。在这个过程中无论是哪一个步骤都需要将其记录在系统的日志文件之中, 并将数据库中的重要数据内容进行复制分开保存, 如果出现了故障, 那么就可以根据日志文件中所记录保存的内容通过数据的副本来对相应的事务进行有效的恢复。

3 结语

Web数据库的安全问题是一个全局性的课题, 其所涉及的内容非常的广泛, 并且因为处于网络之中, 所需要面对的新威胁不断的出现, 所以想要建立起一套非常完美的安全体系是不现实的。因此在实际的Web数据的应用中, 通常都是将多种技术进行综合的应用来搭建起相对较为完善的安全体系, 通过这样的方法来尽可能的为Web数据库提供安全保证。

参考文献

[1]孙玉.Web数据库安全的设计与实现[J].信息系统工程, 2013, (02) .

[2]王振辉, 王振铎, 张敏等.Web数据库安全中间件设计与实现[J].科学技术与工程, 2013, (05) .

基于Web数据库的安全问题探析第8篇

1 Web数据库存在的安全隐患简述

1.1 自然因素造成的安全隐患

自然因素在Web数据库应用中出现安全隐患的比率较低, 常见的自然因素造成的Web数据库安全隐患有抗击单站点故障和网络故障等形式。简而言之, 就是在出现自然故障时所产生的如何将系统发生故障情况下进行恢复, 如何保证系统的正常运行。

1.2 人为因素造成的安全隐患

从目前的基于Web数据库的安全所占比率来看, 人为因素所造成的安全隐患较多, 同时人为因素造成的安全隐患还具有不确定性且变化性较多的特点。目前在人为因素造成的Web数据库安全隐患主要集中在来自于计算机黑客攻击时应该如何对库存数据与通信报文进行处理上。

第一, 来自黑客的攻击的安全隐患。为了窃取Web数据库内的数据或者扰乱系统的正常工作, 黑客通常情况下采用窃听、重发攻击、假冒攻击与越权攻击的方式给Web数据库的安全问题带来隐患。如黑客通过把窃听到的数据重新修改后发给使用者或者服务器, 从而达到了扰乱系统正常工作的目的;或者黑客利用存在的网络协议和操作系统的漏洞绕过Web数据库系统而直接对数据库文件进行访问。也就是说, 为了达到对Web数据库进行有效攻击的目的, 黑客借助于其所掌握的破译工具, 通过密码分析方法的采用来取得密文, 并对密文进行解密或者密文内容篡改。

第二, 来自计算机病毒的安全隐患。随着网络的逐渐普及, 网民的人数越来越多, 计算机病毒的种类也因此在传播速度上越来越快, 所传播的范围也越来越广。计算机应用技术的提高也带来了计算机病毒的复杂性和多变性, 同时这些病毒所具有的破坏能力和攻击能力也越来越强大。

第三, 来自网络安全环境的安全隐患。网络安全环境的安全隐患主要体现在网络安全环境自身所具有的脆弱性的特征。这些脆弱性的特征包括操作系统和数据库管理系统安全上的脆弱性, 同样也包括由网络协议带来的安全隐患。

第四, 来自数据库应用系统的安全隐患。数据库应用系统的安全隐患主要表现在非法的用户使用者使用其没有权限的应用系统进行数据存取, 也包括系统授权的用户使用者超过其被授予的合法权限进行没有经过授权的信息的存取等安全隐患。

2 基于Web数据库的安全防范建议

从计算机应用的技术层面来说, 基于Web数据库的安全防范技术有很多, 从目前的具体应用来说, 目前比较广泛的应用技术有防火墙、网络安全扫描、网络入侵检测等, 与此同时计算机的操作系统也为Web数据库系统提供了必要的安全平台保护。

2.1 安全模型的确立

当使用者进行数据库访问必然要预先经过数据库的应用程序, 只有经过应用程序才能进入到数据库系统。此时应用程序将使用者提交的口令密文传递给数据库系统进行相关的认证。在使用者对数据库里的包括视图和存储过程等进行相应的操作时, 使用者必须通过系统进行的身份认证, 只有在通身份认证通过的基础上才能对数据库中存在的对象进行操作。

2.2 定义视图和对数据进行加密处理

通过定义视图的方式对使用者进行访问范围的限制。对数据进行加密处理的方式是信息通信和存储中必要的使用手段。通过对数据进行的信息加密处理, 可以保障系统的合法用户通过较快速的存取信息, 对系统的非法入侵者进行阻挡。在具体的应用过程中, 要加强对网络数据库加密与具体的加密方式等应该以系统存在的具体需求为基础进行控制。

2.3 事务管理和故障处理

事务管理主要是应付系统内出现的由于自身因素导致的故障。Web数据库在故障恢复的过程中要进行日志记录与数据的复制工作。在数据库系统中, 一旦事故发生就会造成数据库内的资料的缺失。因而有必要加强数据库内的数据资料进行备份处理, 以保证在事务管理和故障处理中, 可以进行数据库的正常恢复, 从而在根本上保证Web数据库系统的正常运行。

2.4 基于Web数据库审计追踪制度

审计追踪制度是指系统设置数据更新、数据删除和数据修改的记录, 为以后的查证做好准备工作。记录的内容包括操作人员姓名、密码、登录时间和操作内容等等。若发现Web数据库的数据出现问题, 可根据记录追究问题的根源, 确保系统的正常运行。

3 结论

基于Web数据库安全的问题是多方面因素促成的结果, 是一个动态的系统工程, 是一个涉及面较广的问题。同时加上新的各类安全隐患的出现, 因而从根本上建立一个安全能力极强的安全体系从实际情况上来讲是不现实的, 因而有必要加强在Web系统的安全模式相关的理论和实践研究, 为Web数据库广泛应用提高良好的应用基础。

摘要：计算机的广泛应用, Web数据库的安全问题也因此备受关注。该文从Web数据库存在的安全隐患入手, 针对Web数据库所存在的安全问题提出了有效的防范措施。

关键词：Web数据库,数据库的安全,安全隐患

参考文献

[1]魏胜能.诌议Web数据库系统安全[J].科技资讯, 2009 (14) .

Web数据库安全机制的研究和探讨第9篇

在Internet飞速发展的今天,Web技术日新月异,数据库技术日渐成熟,于是Web技术与数据库管理系统(DBMS)相互融合的领域已经成为研究热点之一。

严格来说,数据库没有Web或Windows之分,Web数据库其实是指通过Web方式(程序)去访问的数据库。这只是一种数据库的访问方法,是一种程序模式。Web数据库是数据库技术与Web技术的结合,这种结合集中了数据库技术与网络技术的优点,既充分利用了大量已有的数据库信息,用户又可以很方便地在Web浏览器上检索和浏览数据库的内容。

随着Web数据库广泛应用于社会各个方面,比如电子商务、电子政务、信息查询事物等,Web数据库置于网络环境下,Internet自身的隐患和漏洞,Web数据库也面临着巨大的安全挑战,因此研究Web数据库的安全机制对于信息系统的安全防护有着重要的意义。

2 Web数据库

Web数据库(DBMS Web)技术简言之就是利用浏览器对网络数据库进行访问,简单可以归为两类:

(1)在数据库端实现对数据库的操纵,服务器将结果以Web页的形式返回给客户。这种方式采用的是中间件技术,在Web服务器端通过中间件连接Web服务器和数据库服务器。这种实现方式常见的有CGI (通用网关接口)、API (应用程序接口)、ASP (动态服务器页面),这几种方式各有自己的优缺点,其中ASP为更多开发者所熟知和接受。

(2)在客户端通过浏览器实现对数据库的操纵这种方式是直接将数据库操纵程序下载到客户端运行,客户端应用包括JavaApplet、ActiveX、Pluge-in等。其中JavaApplet以其良好的移植性、通用性和扩展性赢得了用户的青睐。

以上两种方式可以用图1来表示。

3 Web安全管理

3.1 安全分析

数据库安全性是指保护数据库以防止非法使用所造成的数据泄露、更改或破坏。具体来说,要求保证数据库信息的保密性、完整性、一致性。结合Web数据库的环境特殊性,图1中任何一个环节上的安全隐患都会对Web数据库造成安全威胁,但是Web数据库面临的主要安全威胁可归纳为以下两种:一种是与Web数据库的交互中所面临的安全威胁,它是由扩展Web服务的某些软件所带来的;一种是机密数据在Internet传输过程中所面临的安全威胁,它是Internet上各种服务所共有的。这两种安全隐患也不是截然分开的,而是共同存在并相互作用的。具体到实际应用,安全隐患表现在:首先,数据库暴露在网络中,网络上的任何具有密码的用户都可以访问这个数据库,而通过网络传输的用户名和密码很容易被人窃取。其次,数据通过网络传输,缺乏有效的安全保护措施,可能被截取、篡改。特别是在互联网环境下,黑客的攻击现在已成为Internet安全的重大问题,Web数据库首当其冲受到威胁。

由此可见,Web站点的安全性是综合性的技术问题,要求管理员在做安全规划和实施时,遵从“木桶理论”原则从网络体系、操作系统、Web Server及数据库和应用程序设计等方面系统考虑,保证系统安全运行。

3.2 安全机制的构建

基于上述安全分析,一个比较成熟的Web安全框架可以划分为三个层次:网络系统层次、宿主操作系统层次、数据库管理系统层次。由此我们可以建立一个从用户操作到后台数据库的全程的安全模型如图2所示。

图2所示,用户根据自身身份向Web服务器发出请求,服务器根据用户请求进行身份验证,在身份验证通过的情况下进行访问权限的分配和访问控制的限制,在权限访问期间,要经过防火墙的过滤,一方面对于不规则的或者不安全的数据进行拦截,另一方面可以减轻大量数据对服务器造成的访问冲击,然后对每个用户访问数据都要进行审计跟踪和日志记录,对于敏感数据进行加密;为保护数据库的安全,对数据库进行必要的加密和备份处理,以实现数据库的有效性和完整性。

3.3 防火墙技术

为防止非法的人侵者对数据库破坏,必须对存储数据库的主机进行保护,防火墙不可或缺。

在数据库应用中,防火墙技术一般分为两种:包过滤和代理两种,两种技术可单独使用也可结合起来用。包过滤主要是针对特定IP地址的主机所提供的服务,其基本原理是在网络传输的IP层截获往来的IP包信息,确定是否对此IP包进行转发。简单的包过滤在路由器上即可实现,通常放置在路由器的后面,同时还可结合加密、认证等安全技术,从而实现较高的安全性。代理在应用层实现,其基本原理是对Web服务单独构造一个代理程序,不允许客户程序与服务器程序直接交互,必须通过代理程序双方才能进行信息的交互,同样在代理程序中可结合认证和加密等安全控制措施,达到更高的安全性能。在实际构建防火墙系统时,通常由过滤器提供第一级的安全防护,主要防止IP欺骗攻击,再由代理服务器提供更高级别的安全防护。

3.4 用户标识和鉴别

Web数据库系统中包含大量的敏感和机密数据,必须对来访的用户进行身份认证。户标识与鉴别是系统提供的最基本的安全保护措施。其方法是由系统提供一定的方式让用户标识自己的名字或身份。每次用户要求进入系统时,由系统进行核对,通过鉴定后才提供机器使用权。一般来说常见的用户鉴别方式有以下四种:基于口令的身份认证;基于一次性口令的身份认证;基于数字证书的身份认证;基于个人特征的身份认证。这四种用户身份验证方式在生活的各个领域有不同的应用范围,认证的安全性也有所不同。

3.5 访问控制

并不是经过身份认证的合法用户可以随意访问系统,用户的授权管理机制甚为重要,其严密性将直接影响整个体统的安全和稳定。访问控制的主要功能是为经过身份认证的合法用户规定相应的权限。权限一般分为用户访问权限和资源访问权限两种。用户访问权限规定了登录Web数据库的用户完全控制、更改、读取、拒绝访问四种权限来对共享资源的操作,资源访问权限则由资源的属性来规定的。

访问控制通常一个系统用访问控制表ACL (Access Control List)和权限表(Capacity List)来确定合法用户及权限。Web数据库交互中的许多安全威胁可以在这一环节得到解决,这要求含用户名和密码等机密信息的文件,脚本文件放在安全的位置,有些还需加密处理。

在具体应用还应该对不用的方面采取不同的访问控制机制。在Web应用程序级,可用身份认证机制保护被限制的内容。在后台数据库中,用身份认证机制进一步验证用户的合法性,可建立一个合法用户表,其信息包括:登录名、口令、用户名及访问权限代码,既进行验证又对用户访问权限进行区分。

3.6 审计追踪

Web数据库重要组件之一日志系统具有综合性数据记录功能和自动分类检索能力。日志系统可以帮助管理员轻松完成审计和追踪任务,因此日志系统必须完整而且准确。完整的日志不仅要包括用户的各项操作而且还要包括网络中数据接收的正确性、有效性及合法性的检查结果,为日后网络安全分析提供可靠的依据。

审计作为一项安全技术,对系统安全有重要的作用。审计主要是确保可查性,通过审计机制,可及时报告系统运行过程中的可疑现象,发现隐患。为提高审计功能,必要时还需设置审计安全事件发生积累机制。当超过一定值便发出警报,以提示采取相应措施。

监视追踪可利用日志系统和网络监视软件来实施。日志系统会记录用户自登录开始直到退出的整个操作的全过程,为网络安全分析提供可靠的依据,这对预防非法人侵,提高网络安全是很有意义的。日志监视跟踪可进行潜在“黑客”攻击检查、单帐号多用户检查和非工作时间操作检查等。一般来说追踪技术可分为追踪黑客和主动防御两部分。

由此可见追踪和审计对于Web的安全性和可控性有重要的意义。

3.7 存储过程和数据加密

在Web的数据库系统中,可通过建立参数化的存储过程实现数据库的访问,这通常是增强Web安全的一个最佳方案。如果不用此方法,则查询必须由Web应用程序动态构造。如果Web层遭到破坏,攻击者就可以向数据库查询中插人恶意命令,以检索、更改或删除数据库中存储的数据。使用存储过程,Web应用程序与数据库的交互操作仅限于通过存储过程发送的几个特定的严格类型参数。使用存储过程可以实现将用户鉴别与数据处理的分离,增加数据存取的安全性。

对于敏感数据进行加密存储是传统和有效的方法。数据加密(Data Encryption)是防止数据库中数据在存储和传输中失密的有效手段。加密的基本思想是根据一定的算法将原始数据(明文)加密成为不可直接识别的格式(密文)文件,数据以密文的方式存储和传播,即便密文被截获,非法人员也不会轻易得到真正的数据。一般情况下,数据库直接加密是比较安全的,各用户或用户组利用自己的密钥加密,即使是数据库管理员获得信息也无法进行正常解密,从而保证用户信息的安全。另外,通过加密,数据库的备份内容成为密文,从而能减少因备份介质失窃或丢失而造成的损失。通常根据数据库的自身特点,数据库的加密采用字段加密策略。

3.8 备份与故障恢复

数据库备份恢复策略针对计算机发生故障时尽可能地减少损失。备份对系统遭遇不可预测致命损坏时恢复系统运行有着举足轻重的作用。所以备份与故障恢复是数据库系统安全运行的重要保险之一。按照系统遭受破坏的程度,需要采取不同的恢复措施,对备份的要求也有所不同。通常提供两种恢复方式:备份恢复和向前滚动,从而保证意外故障恢复数据库时候的一致性和完整性。两者各有自己的优缺点,管理员应视情况而做出相应的恢复策略。

4 总结

Web数据库安全威胁涉及许多方面,是一个全局性向题,而且新的攻击手段和方法不断涌现,要构筑起一个面面俱到安全体系是很困难的。在整个系统中绝对的安全是不存在的,即使在安全的系统中,恶意用户也可以使用先进的工具来尝试进入您的系统,而且随着技术的发展和数据库应用范围的扩大,数据库安全也将会遇到新的问题,这些必然会促使人们对数据库研究从各个方面向前推进。

期待更多的专家和学者能够对Web系统的安全模式有个更加全面和深刻的考虑,为Web数据库的应用保驾护航。

摘要：Web数据库系统在人们的日常生活中发挥着重要的作用。本文从Web数据库的访问技术入手,在分析了数据库面临的安全危机之后,从建立安全机制模型、防火墙技术、数据加密、备份与恢复几个方面对Web数据库的安全机制做了研究和探讨。

关键词：Web数据库系统,数据库安全机制

参考文献

[1]刘畅,张睿哲.Web数据库安全模型研究.北京联合大学学报,2007.

[2]王惠琴,李明.Web应用程序中的数据库安全策略.甘肃工业大学学报,计算机工程与设计,2002.

Web数据库安全防护第10篇

(1) CGI。最早的访问技术, 是数据库及WEB之间桥梁, 用户利用HTML向浏览区提出请求, 相应的服务器接收到请求以后, 利用网关接口将HTM最终转化为SQL而访问WEB数据库, 完成WEB浏览器以及各个数据库数据之间的交流通信[1]。

(2) WEB API技术。应用程序编程接口, 应用程序利用调用整个操作系统中的API执行动作。通常利用DLL提供, 解决CGI自身效率低的问题。

(3) ASP技术。ASP是用来代替CGI其中脚本程序的重要应用, 主要运行于IIS中, 能够实现数据库以及各种程序之间的有效交互。常用于动态网站中。ASP对所有用户通过HTML表单进行查询或者对相应的数据进行响应, 并最终向WEB浏览器显示结果, 为用户制定个性化网页, 充分提高页面具有的可用性。

2 网络系统层面的安全策略

(1) 网络通信协议。在制定网络TCP/IP协议的过程中, 并没有认识到一些安全问题未来迅猛的发展速度, 并且, 由于网络通信使用的范围非常广泛, 各种网络的安全问题也逐渐增多。网络协议本身并没有设置相应的数据保密合作或者是身份真实性以及无法否认性, 不能直接建立相应的通信环境, 因此需要将IP安全协议以及各种安全协议首先附加其中, 从而能够为客户提供有效的安全机制并实现安全服务。

(2) 并发控制技术。一般情况下, 网络数据库所处的各种网络环境比较开放, 因此, 会出现多个用户同一时间访问相同的数据库, 每一个用户权限存在差异, 导致一种相同的数据同时被大量的用户程序同一时间存取, 想要有效的保证整个数据具有的完整性, 需要利用封锁机制, 对出现的操作过程进行合理的控制, 在用户没有释放具体的共享锁时, 无法实现对数据的读取或者是修改[2]。

(3) 入侵检测技术。第一, 对网络进行的入侵检测, 第二, 对主机进行的入侵检测。其中的网路入侵检测对数据源进行全面分析主要来源于各个网络分组数据, 同时, 对主机入侵检测主要是通过加强整个操作系统, 并且及时监测所有的安全日志。

(4) 加密机制。进行加密的整个过程就是将明文进行有效的加密处理, 最终成为密文, 还可以根据具体的需要对相应的密文进行解密变成明文[3]。

3 宿主操作系统采取的安全策略

3.1 用户端以及服务端具有的安全机制

客户应用程序是网络数据进行安全管理中非常重要的内容, 同时自身具有的独立性比较强, 具有容易实现的基本特性。使用的客户端程序能够对所有用户登录具有的合法性进行控制, 并直接设置相应的数据。但是数据库管理自身具有的安全性比较差, 需要加强对应用程序进行的控制, 从而有效的提升系统具有的安全性能。另一方面, 客户程序进行的编写的过程比较灵活, 能够对客户端进行有效的管理。结合服务器端具有的安全性能, 选择安全性能比较高的操作系统, 并在网络信息传达的整个过程中, 对操作具有的合法性能进行相应的监测, 并针对服务端具体的操作行为及时追踪, 对所有的非法操作完成相应的记录。

3.2 防火墙技术

在实际操作中, 经常使用的防火墙技术主要是代理技术, 本文主要介绍的双宿主机使用的防火墙技术, 还可以称为保垒主机。在双宿主机中使用的防火墙技术能够有效的实现应用程序进行的转发, 并提供相应的服务。需要特别注意的是, 这种防护墙技术一旦被非法入侵就会失去原本具有的防火墙作用, 只具备一般路由器的主要功能, 对整个内部网络都造成了严重威胁[4]。

4 数据库管理具有的安全策略

第一, 文件系统实施的安全措施, 一般情况下, 利用SQL Server数据库, 并安装在相应在NTFS文件中, 这一系统具有比较强的稳定性, 并且容易恢复, 同时能够实现文件以及目录的加密。利用EFS实现对SQL Server身份进行加密, 实现相应的账户对文件进行加密。第二, 密码安全策略, 对所有数据库进行相应的安全管理, 首先需要设置相应的安全密码, 有效的阻止sa账户具体的密码在脚本中被写入。利用混合模式对SQL Server进行安装, 首先需要输入sa的对应密码, 并避免使用空密码, 对设置的相应密码完成定期的培训, 相应数据库管理工作人员需要不断加强相应的监督以及控制, 一旦发现任何不相符的情况, 都需要进行及时的处理[5]。

5 结语

综上, 在网络环境下实现的数据库安全管理属于一项多层面系统化的综合技术内容, 随着如今计算机技术的迅猛发展, 数据库技术具体的应用范围也非常广泛, 同时, 数据库自身的安全管理受到了更多人的关注与重视, 只有做好数据库自身的安全管理, 才能为人们提供更多方便的同时, 为人们提供更加安全可靠的互联网环境。

摘要：如今计算机技术在迅猛的发展, 人们的生活、工作以及学习都与互联网存在较大的联系, 各种信息资源传到互联网中, 在给人们带来前所未有的方便的同时, 也带来了更多的安全隐患, 本文主要讲述了Web网络数据库具有的安全技术, 分别讲述了WEB数据库访问技术, 网络系统层面的安全策略, 宿主操作系统采取的安全策略以及数据库管理具有的安全策略等内容。

关键词：Web,网络数据库,安全技术,研究

参考文献

[1]匡丕东.Web数据库应用系统中的安全机制研究[J].电脑知识与技术, 2010 (2) .

[2]张瑞卿, 高永平.基于Web数据库的安全问题探析[J].电脑知识与技术, 2010 (3) .

[3]熊必成, 杨军, 占红云.WEB数据库安全体系设计[J].信息与电脑, 2011 (4) .

[4]黄继伟.Web数据库安全机制的研究和探讨[J].电脑编程技巧与维护, 2011 (1) .

Web数据库安全防护第11篇

关键词:ASP技术 ADO技术数据库管理

中图分类号:TP311.52文献标识码:A文章编号:1674-098X(2012)04(a)-0208-01

ASP是Microsoft开发的一种服务器端执行脚本环境,是目前公认的建立Windows NT下动态站点最好的工具之一。ASP内置组件中一个非常重要的组件是ADO组件,ADO的主要作用是提供用户访问数据存储的功能,是一种可以提供Web页面与数据库结合的最新的数据库技术,使得数据库存取更新更加简单、方便。

ASP技术与ADO技术相结合,可以实现基于WWW的数据库管理功能,在ASP脚本语言中直接使用ADO组件可编写出紧凑简明的脚本,以实现与ODBC数据源的连接,因此使用ADO组件可以访问任何与ODBC兼容的数据源。ADO主要提供了Connection、Recordset、Command、Field、Parameter、Error、Property七个对象及Fields、Properties、Parameters、Errors四个集合来完成对于数据库的管理。

在ADO组件中,Connection、Recordset和Command是三个主要的对象,通过这三个对象及它们的子对象可以方便地实现与数据源的连接、执行SQL查询和进行查询结果的处理。

(1)Connection对象:用来和数据库建立连接。

(2)Command对象:用来对数据库传递SQL语句,并对数据库进行各种操作。

(3)Recordset对象:包含了从数据源得到的记录集。

下面介绍开发访问数据库并增加用户成员程序的基本设计方法:

(1)创建数据库源名(DSN)

DSN是通过ODBC创建,由ODBC使用和识别的、用以连接应用程序和后台数据库的数据库逻辑名。假定已为一个SQL Server数据库创建了取名为“bookstore”的 ODBC数据源。

(2)创建数据库链接(Connection)

通过服务器对象的CreateObject方法,可以创建Connection对象和使用变量接受对象引

用。一旦连接对象创建之后,它就可用来打开到任何ODBC数据源的连接。如下∶

Dim conn‘申明变量

Set Conn=Server.CreatObject("ADODB.Connection")‘创建链接对象

Conn.Open "dsn=bookstore;uid=;pwd=;"‘打开到ODBC的链接,其中用户ID号与用户口令未加设置。程序员应根据自己的情况进行设置。

(3)创建记录集对象(Recordset)

创建Recordset数据对象,实现对数据集合的直接存储。

Dim Rs‘申明变量

Set Rs=Server.CreatObject("ADODB.Recordset")‘创建数据对象

(4)操作数据库

ADO通过执行标准的SQL语句实现增加成员功能,因此首先要定义SQL语句,

然后执行该SQL命令。

Dim sqlstr ‘申明变量

sqlstr="insert into user(username,address,postcode,telephone)values(‘" & varname & " ‘ ,’ " & varaddress & " ‘ ,’ " & varpostcode & " ‘ ,’ " & vartelephone & "’)" ‘定义SQL增加成员语句,把对应变量的值赋值给USER表中的各字段。

(5)关闭数据库对象和链接对象

在程序结束前一定要关闭ADO对象,释放服务器资源。如下:

Rs.close

Conn.close

Set Rs=nothing

Set Conn=nothing

下面是一个向bookstore数据库中user表中增加成员程序:。

Insert_item.asp

ASP数据库增加成员实例

Dim Conn

Set Conn = Server.CreateObject("ADODB.Connection")

Conn.Open "dsn=bookstore;uid=;pws=;"

Sql= "select * from user "

Dim Rs

Set Rs=Server.CreateObject("ADODB.recordset")

Const adOpenkeyset=1

Rs.Open Sql,Conn, adOpenkeyset

Dim sqlstr,varname,varaddress,varpostcode,vartelephone

Varname=request.form(“myname”)

Varaddress=request.form(“myaddress”)

Varpostcode=request.form(“mypostcode”)

Vartelephone=request.form(“mytelephone”)

sqlstr="insert into user(username,address,postcode,telephone) values(‘" & varname & " ‘ ,’ " & varaddress & " ‘ ,’ " & varpostcode & " ‘ ,’ " & vartelephone & "’)" ‘定义SQL增加成员语句,把对应变量的值赋值给USER表中的各字段。

Conn.execute(strsql)

Response.write “,