A támadásokról:
A mai korban az információ az egyik legértékesebb dolog, így az adatbázis kezelők gyakori támadásoknak vannak kitéve, hiszen nagy mennyiségű, adott esetben kényes, titkos információt tárolnak egy helyütt. Valamint roppant elterjedtek, hiszen a dinamikus tartalmat szolgáltató webes alkalmazások alapjául is adatbázisok szolgálnak.
A támadásokat két fő csoportra oszthatjuk a szerint, hogy honnan érkeznek. Lehetnek külső illetve belső támadások. A belső támadások olyan személyektől érkeznek, akik valamilyen szinten hozzáférnek a tárolt adatokhoz. Míg a külső támadások hátterében olyan emberek állnak, akik egyébként nem férhetnének hozzá a tárolt adatokhoz.
Külső fenyegetést okozhat, ha közvetlenül kirakjuk az adatbázist az Internetre. Ilyenkor könnyű a protokoll stacket túlcsordulással megfejteni Védhetjük az adatokat a támadások ellen, ha tűzfal mögé helyezzük, de ekkor még mindig nem lesznek biztonságba. Ekkor web alkalmazásokon keresztül nyújtunk adatokat. Ilyenkor még mindig érkezhetnek támadások az alkalmazási rétegen keresztül. Illetve belülről.
Külső támadások közé tartozik például, a kártékony kódok jogosulatlan távoli futtatása. Az SQL utasítások könnyű megbabrálhatóságának sok SQL fejlesztő nincs tisztában, így ezért ezeket az utasításokat biztonságosnak feltételezik. És nem vizsgálják meg a beérkező utasítás kódot elég alaposan. Ezért az olyan alkalmazások esetében, ahol a felhasználótól származó adatokból és statikus paraméterekből állítanak össze SQL lekérdezéseket, „közvetlen SQL utasítás befecskendezés”-sel a támadó a régi SQL utasításokat módosíthatja vagy újakat adhat hozzá. Így titkos információkhoz juthat, vagy akár rendszerszintű parancsokat is futtathat az adatbázis gazdagépén.
Az SQL befecskendezéshez hasonló az Oracle shell kód kódolás-dekódolás támadás is. A shell kód valójában egy gépi utasítás, amit a hekker küld a szervernek a a puffer elárasztásával, vagy egyszerűen megszerzi a szerver irányítását. A hekker ehhez a támadáshoz talál egy helytelenül megirt kód részletet, ami lehetővé teszi számára, hogy hamis utasításokat küldhessen és ezzel átvegye a szerver felett az irányítást. A támadások közel 68%-a PL/SQL feldolgozássorán az eljárásba beépített hosszú sztringek elküldését használja ki. Ezen funkción keresztül küldenek shell kódot az adatbázis szervernek. A puffer elárasztásal a támadó megkapja a stackre mutató pointert, ahova így már maga is képes utasításokat küldeni. Így már kiadhat olyan parancsot a hekker, hogy az ő kódját futtassa a gép. Ezen támadás ellen úgy próbálnak védekezni, hogy egyre újabb és változatosabb szűröket helyeznek a hekker és az adatbázis köz, hogy kiszűrjék a lehetséges gépi kódokat. Ez főleg ott lehetséges ahol a program megengedi a hekkernek, hogy bármilyen érvényes karaktert használjon, dekódolja ls végrehajtsa.
Az adatok titkosságát az ügyfél és a kiszolgáló között mozgó adatokra védi az SSL kapcsolati protokoll. De ha az adatbázisban tárolt adatokat nem védjük, titkosítással, akkor ha a támadó egyszer hozzáférést szerez az adatbázishoz, megkerülve a webszervert, akkor az ott tárolt adatok védtelenné válnak.
Egy másik támadási módszer lehet az, amikor is a támadok a belépési neveket és jelszavakat törik fel. Az adatbázis kezelők a jelszavakat hashalt értékükkel tárolják. Ezen függvényeket könnyű számolni, de nehéz visszafejteni. Azonban léteznek szótárak, ahol több millió hash érték pár érhető el, ebből a gyakori módszerekkel előállított jelszavakhoz a szótár alapján könnyen visszafejthető a karaktersorozat.
Ajánlott bejegyzések:
A bejegyzés trackback címe:
Kommentek:
A hozzászólások a vonatkozó jogszabályok értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a Felhasználási feltételekben és az adatvédelmi tájékoztatóban.