建站
咨詢
售后
建站咨詢
新聞中心
筆者從事網(wǎng)絡(luò)管理工作，數(shù)月前，應(yīng)邀對本地一家公司做了一次安全檢測，在檢測就要結(jié)束的時(shí)候，在內(nèi)網(wǎng)用嗅探到了一個(gè)SQLServer數(shù)據(jù)庫的SA密碼，經(jīng)該公司的網(wǎng)絡(luò)管理人員介紹說，該數(shù)據(jù)庫服務(wù)器運(yùn)行了一套軟件，在互聯(lián)網(wǎng)有固定的ip地址，用于與各地子公司交換數(shù)據(jù)用的，SA密碼是軟件安裝人員設(shè)置的，數(shù)據(jù)庫服務(wù)器從來沒有出現(xiàn)過安全問題。
盡管這個(gè)SA密碼非常復(fù)雜，10多位字符，由數(shù)字和字母混合組成，但筆者一看到這個(gè)SA密碼的部分字符，馬上想到國內(nèi)的一家軟件公司，會不會這個(gè)家軟件公司的SA密碼設(shè)置都是相同的，或者大部分是這個(gè)？經(jīng)過幾個(gè)月的測試，筆者發(fā)現(xiàn)了更為驚人的情況，國內(nèi)多個(gè)軟件公司的部分?jǐn)?shù)據(jù)庫軟件產(chǎn)品都存在安全隱患，嚴(yán)重威脅到運(yùn)行服務(wù)器和數(shù)據(jù)的安全，入侵者可以在短時(shí)間內(nèi)完全控制互聯(lián)網(wǎng)上大量數(shù)據(jù)庫服務(wù)器。SA密碼泄露會造成什么危害請參考筆者的這篇文章：http://www.cnking.org/post/286.html。由于眾所周知的原因，本文沒有進(jìn)行抓圖說明，下文僅以字母代表軟件公司的名稱。
1、公司A的某產(chǎn)品后臺數(shù)據(jù)庫使用的是SQLServer數(shù)據(jù)庫，在服務(wù)器端安裝時(shí)會在數(shù)據(jù)庫中建立一個(gè)用戶，該用戶和SA的權(quán)限一樣，盡管密碼相對復(fù)雜一些，但密碼都是相同的，一旦泄露出去，數(shù)據(jù)庫服務(wù)器的安全肯定會受到威脅，而且產(chǎn)品說明書中并沒有說明該用戶的存在。公司B和C的產(chǎn)品同樣存在這用情況。
2、還是公司A的某個(gè)產(chǎn)品，也是使用的SQLServer數(shù)據(jù)庫，不知道什么原因，SA的密碼都是相同的，帶有很明顯的特征（非弱口令），筆者懷疑是該公司進(jìn)行技術(shù)人員培訓(xùn)時(shí)都以該密碼作為例子造成的。公司D、E也存在這種情況。
3、公司F、G、H的某些產(chǎn)品也是使用的SQLServer數(shù)據(jù)庫，在安裝服務(wù)器端時(shí)也會在數(shù)據(jù)庫中建立一個(gè)用戶，好在只是普通權(quán)限，只可以對本數(shù)據(jù)庫進(jìn)行操作，無法執(zhí)行master數(shù)據(jù)庫中的擴(kuò)展存儲過程，這些用戶的密碼有的和用戶名是一樣的，有的以明文的形式保存在ini配置文件中，這些用戶名和密碼一旦泄露會對數(shù)據(jù)安全產(chǎn)生威脅，如果什么時(shí)候再出個(gè)數(shù)據(jù)庫提權(quán)漏洞后果也是不堪設(shè)想。
4、公司I的某個(gè)軟件產(chǎn)品是安裝在嵌入式設(shè)備中的，后臺數(shù)據(jù)庫也是SQLServer，SA的密碼默認(rèn)設(shè)置很復(fù)雜，但都是相同的，而且該密碼以明文的形式保存在數(shù)據(jù)庫中的某個(gè)表中。經(jīng)過測試還發(fā)現(xiàn)在數(shù)據(jù)庫中還存在一個(gè)用戶，權(quán)限和SA一樣，密碼和SA的不同，但也都是固定的，不知道在哪個(gè)環(huán)節(jié)建立的該用戶。
出于安全和方便管理考慮，不少軟件公司在安裝完自己的產(chǎn)品后，會推薦用戶購買其他公司的遠(yuǎn)程接入產(chǎn)品，單從遠(yuǎn)程接入軟件來看，安全措施做的都比較好，都有特征碼綁定、KEY等安全功能選擇，入侵者無法通過開啟服務(wù)器的遠(yuǎn)程桌面服務(wù)進(jìn)行連接控制，但由于SA密碼已經(jīng)泄露，遠(yuǎn)程接入軟件也都存在被攻破的可能。
遠(yuǎn)程接入軟件公司J可對接入方的網(wǎng)卡物理地址進(jìn)行認(rèn)證，入侵者在獲得服務(wù)器的SA密碼后可以通過Ipconfig /all命令獲得服務(wù)器的網(wǎng)卡物理地址，然后將自己的計(jì)算機(jī)網(wǎng)卡物理地址修改成服務(wù)器的網(wǎng)卡物理地址，運(yùn)行遠(yuǎn)程接入的客戶端就可以連接上服務(wù)器，進(jìn)行圖形操作了，當(dāng)然前提是設(shè)置中允許服務(wù)器遠(yuǎn)程接入。
遠(yuǎn)程接入軟件公司K的接入客戶端可以通過服務(wù)器開啟的web方式下載，但需要在web頁面中輸入正確的用戶名和密碼，而web頁面的用戶名和密碼保存在該遠(yuǎn)程接入軟件的安裝目錄下的某個(gè)文件中，入侵者可以通過SA密碼使用type命令獲取該文件中的信息，用戶名是明文，密碼則是經(jīng)過某種（不方便透露）加密的，入侵者破解加密密碼獲得明文后，就可以登陸到web管理界面的后臺，獲得分發(fā)的接入客戶端，運(yùn)行客戶端就可以圖形化管理服務(wù)器了。
說了這么多的安全隱患，都與使用SQLServer數(shù)據(jù)庫有關(guān)，但這不代表SQLServer數(shù)據(jù)庫存在安全問題，恰恰因?yàn)镾QLServer數(shù)據(jù)庫出色的穩(wěn)定性和安全性使其得到極為廣泛的應(yīng)用，安全隱患只是軟件“偷偷摸摸”建立的數(shù)據(jù)庫用戶造成的，使用其他數(shù)據(jù)庫的軟件肯定也存在類似隱患，只是筆者沒有測試過，特此說明，以免引起大家的誤會。
在數(shù)據(jù)庫中添加用戶似乎是某些軟件公司的“潛規(guī)則”，我想軟件公司的目的是好的，是為了方便用戶，讓用戶只需要把精力放在前臺的程序操作上，而不需要關(guān)心后臺是如何運(yùn)作的，卻忽視了安全這個(gè)環(huán)節(jié)，如果能在安裝應(yīng)用程序時(shí)讓用戶自己設(shè)置數(shù)據(jù)庫新用戶的密碼，并將該密碼加密后保存在配置文件中，這樣會更安全和靈活，相信聰明的程序員一定會解決這個(gè)問題。
在互聯(lián)網(wǎng)上有非常多的服務(wù)器運(yùn)行著上面這些有安全隱患的軟件，這些服務(wù)器或擁有固定ip地址，或使用花生殼、每步等軟件解析，誰家的孩子，誰家清楚，希望這篇文章能引起所有軟件公司對產(chǎn)品安全的重視，不要因?yàn)槟銈兊氖韬龆寯?shù)據(jù)庫服務(wù)器的安全性受到威脅，讓廣大的系統(tǒng)維護(hù)人員和網(wǎng)管員背黑鍋。
網(wǎng)站標(biāo)題：國內(nèi)多家軟件公司產(chǎn)品存在安全隱患
鏈接分享：http://www.5511xx.com/article/cdjjgsi.html
