学校存在的安全隐患:国内多家软件Software公司产品存在安全隐患来源: 发布时间:星期一, 2010年3月8日 浏览:1次 评论:0
=Apple-style-span>=Apple-style-span>
笔者从事网络管理工作
 数月前应邀对本地 家公司做了次安全检测在检测就要结束 时候在内网用嗅探到了个SQLServer数据库SA密码经该公司网络管理人员介绍说该数据库服务器运行了套软件Software在互联网有固定ip地址用于和各地子公司交换数据用SA密码是软件Software安装人员设置数据库服务器从来没有出现过安全问题 尽管这个SA密码非常复杂 10多位 由数字和字母混合组成但笔者看到这个SA密码部分马上想到国内家软件Software公司会不会这个家软件Software公司SA密码设置都是相同或者大部分是这个？经过几个月测试笔者发现了更为惊人情况国内多个软件Software公司部分数据库软件Software产品都存在安全隐患严重威胁到运行服务器和数据安全入侵者可以在短时间内完全控制互联网上大量数据库服务器SA密码泄露会造成什么危害请参考笔者这篇文章:http://www.cnking.org/post/286.html由于众所周知原因本文没有进行抓图介绍说明下文仅以字母代表软件Software公司名称1、公司A 某产品后台数据库使用是SQLServer数据库在服务器端安装时会在数据库中建立个用户该用户和SA权限样尽管密码相对复杂些但密码都是相同旦泄露出去数据库服务器安全肯定会受到威胁而且产品介绍说明书中并没有介绍说明该用户存在公司B和C产品同样存在这用情况2、还是公司A 某个产品也是使用SQLServer数据库不知道什么原因SA密码都是相同带有很明显特征(非弱口令)笔者怀疑是该公司进行技术人员培训时都以该密码作为例子造成公司D、E也存在这种情况3、公司F、G、H 某些产品也是使用SQLServer数据库在安装服务器端时也会在数据库中建立个用户好在只是普通权限只可以对本数据库进行操作无法执行master数据库中扩展存储过程这些用户密码有和用户名是样有以明文形式保存在ini配置文件中这些用户名和密码旦泄露会对数据安全产生威胁如果什么时候再出个数据库提权漏洞后果也是不堪设想4、公司I 某个软件Software产品是安装在嵌入式设备中后台数据库也是SQLServerSA密码默认设置很复杂但都是相同而且该密码以明文形式保存在数据库中某个表中经过测试还发现在数据库中还存在个用户权限和SA样密码和SA区别但也都是固定不知道在哪个环节建立该用户出于安全和方便管理考虑 不少软件Software公司在安装完自己产品后会推荐用户购买其他公司远程接入产品单从远程接入软件Software来看安全措施做都比较好都有特征码绑定、KEY等安全功能选择入侵者无法通过开启服务器远程桌面服务进行连接控制但由于SA密码已经泄露远程接入软件Software也都存在被攻破可能远程接入软件Software公司J可对接入方 网卡物理地址进行认证入侵者在获得服务器SA密码后可以通过Ipconfig /all命令获得服务器网卡物理地址然后将自己计算机网卡物理地址修改成服务器网卡物理地址运行远程接入客户端就可以连接上服务器进行图形操作了当然前提是设置中允许服务器远程接入远程接入软件Software公司K 接入客户端可以通过服务器开启web方式下载但需要在web页面中输入正确用户名和密码而web页面用户名和密码保存在该远程接入软件Software安装目录下某个文件中入侵者可以通过SA密码使用type命令获取该文件中信息用户名是明文密码则是经过某种(不方便透露)加密入侵者破解加密密码获得明文后就可以登陆到web管理界面后台获得分发接入客户端运行客户端就可以图形化管理服务器了说了这么多 安全隐患都和使用SQLServer数据库有关但这不代表SQLServer数据库存在安全问题恰恰 SQLServer数据库出色稳定性和安全性使其得到极为广泛应用安全隐患只是软件Software“偷偷摸摸”建立数据库用户造成使用其他数据库软件Software肯定也存在类似隐患只是笔者没有测试过特此介绍说明以免引起大家误会在数据库中添加用户似乎是某些软件Software公司 “潜规则”我想软件Software公司目是好是为了方便用户让用户只需要把精力放在前台 操作上而不需要关心后台是如何运作却忽视了安全这个环节如果能在安装应用时让用户自己设置数据库新用户密码并将该密码加密后保存在配置文件中这样会更安全和灵活相信聪明员定会解决这个问题在互联网上有非常多 服务器运行着上面这些有安全隐患软件Software这些服务器或拥有固定ip地址或使用花生壳、每步等软件Software解析谁家孩子谁家清楚希望这篇文章能引起所有软件Software公司对产品安全重视不要你们疏忽而让数据库服务器安全性受到威胁让广大系统维护人员和网管员背黑锅
0
相关文章读者评论发表评论 |
 |
专注于互联网--专注于架构 |
最新标签 网站地图 文章索引 Rss订阅 |
