我要投搞

标签云

收藏小站

爱尚经典语录、名言、句子、散文、日志、唯美图片

当前位置:六合公式 > 方法库 >

防止ACCESS数据库被下载的9种方法

归档日期:05-02       文本归类:方法库      文章编辑:爱尚语录

  引子:昨天和animator试验了一下,把 data.mdb文件改名为data.asp文件后放在目录里。然后 在IE中输入data.asp路径后,发现IE显示一片空白,右键- 察看源文件,跳出记事本,将内容另存为。mdb文件 ,用ACCESS打开,发现需要密码,也就是说至少文件头被破坏。

  然后用 Flashget试验下载data.asp文件,并另存为data.mdb文件,发现用ACCESS打开完好无损!!!看 来,好一些编程人员在开发的时候都认为,改了mdb后缀为asp就能防下载的概念,是错的!后台数据库被下载对于一个asp+a ccess的网站来说无疑是一场惨绝人寰的灾难。今天找了各方的文章,归纳一下有以下9种办法防止数据库被下载(欢迎补充):& ;

  1.发挥你的想象力 修改数据库文件名不用说,这是最最偷懒的方法,但是若攻击者通过第三方途径获得了数据库的路径),就玩完了。比如说攻击者本来只能拿到list权 ,结果意外看到了数据库路径,就可以冠冕堂皇地把数据库下载回去研究了。另外,数据文件通常大小都比较大,起再隐蔽的文件名都瞒 不了人。故保密性为最低。

  (2) 在这个文件中加入%或%,IIS就会按ASP语法来解析,然后就会报告500错误,自然不能下载了。可是 如果只是简单的在数据库的文本或者备注字段加入%是没用的,因为ACCESS会对其中的内容进行处理,在数据库里他会以 %的形式存在,无效!正确的方法是将 %存入OLE对象字段里,这样我们的目的就能达到了。&nbs p;作方法:首先,用notepad新建一个内容为 % 的 文本文件,随便起个名字存档。

  接着,用Access打开您的数据库文件,新建一个表,随便起个名字,在表中添加一个OLE对象的字段,然后添加一个记录, 插入之前建立的文本文件,如果操作正确的话,应该可以看到一个新的名为数据包"的记录。即可

  3.数据库名前加#只需要把数据库文件前名加上#、然后修改数据库连接文件(如conn.asp)中的数据库地址。原理是下载的时候只能识别& ;#号前名的部分,对于后面的自动去掉,比如你要下载:(假设存在的话)。无论是 IE还是FLASHGET等下到的都是(index.asp、 default.jsp等你在IIS设置的首页文档)

  另外在数据库文件名中保留一些空格也起到类似作用,由于HTTP协议对地址解析的特殊性,空格会被编码为%,如http ://;456.mdb,下载的时http: //而我们的目录就根本没有123%456.mdb这个文件,所 以下载也是无效的这样的修改后,即使你暴露了数据库地址,一般情况下别人也是无法下载!

  4.加密数据库首先在选取工具- 安全-加密/解密数据库,选取数据库(如:employer.mdb),然后接确定,接 着会出现数据库加密后另存为的窗口,存为: employer1.mdb.接着employer.mdb就会被编码,然后存为 employer1.mdb……要注意的是,以上的动作并不是对数据库设置密码,而只是对数据库文件加以编码,目的是为了防止他 人使用别的工具来查看数据库文件的内容。

  接下来我们为数据库加密,首先以打开经过编码了的 e mployer1.mdb,在打开时,选择独占方式。然后选取功能表的工具-安全-设置数据库密码,& ;接着输入密码即可。这样即使他人得到了employer1.mdb文件,没有密码他是无法看到 emplo yer1.mdb的。

  加密后要修改数据库连接页, 如:conn.open driver={microsoft access driver&nb sp;(*.mdb)};uid=admin;pwd=数据库密码;dbq=数据库路径这样修改后,数据库即使被人下载了,别人也无法打开(前提是你的数据库连接页中的密码没有被泄露)

  但值得注意的是,由于Access数据库的加密机制比较简单,即使设置了密码,解密也很容易。该数据库系统通过将用户输入的 密码与某一固定密钥进行 异或来形成一个加密串,并将其存储在*.mdb文件从地址&H42开始的区域内。所以一 个好的程序员可以轻松制作一个几十行的小程序就可以轻松地获得任何Access数据库的密码。因此,只要数据库被下载,其信息安 全依然是个未知数。

本文链接:http://renfriends.com/fangfaku/255.html