Web数库系统安全性分析
摘
计算机网络技术广泛应信息安全提出更高求信息系统开发设计程中安全性总放首位置成信息系统生存关键数库基WEB信息系统核心组成部分面外部部双重威胁进行加密等安全处理进行数保护效手段文介绍种流行Web数库访问技术时针Web数库安全问题出初步安全模型
关键词：数库Web安全访问控制
Summary
The wide applications of computer and Internet technology call for a higher demand on the information security In the process of exploring and designing an information system security has always been given the first priority which is critical for the survival of the information system As the nuclear part of WEB information system database faces the double threats coming internally and externally Do such as encryption security process becomes the effective means for data protection Several popular access technologies are introduced and a primary security model of Web Database is given in the paper
Key words Database Web safety access control
目 录
第章 引言 6
11 课题研究意义 7
12 文目容作者贡献 7
第二章 Web数库研究现状设计目标 8
21 相研究课题特点优缺点分析 8
22 现行研究存问题解决办法 8
23 课题达设计目标 9
第三章 Web数库访问技术安全分析 10
31 Web数库安全威胁 10
32 Web数库访问技术 12
321 CGIAPI技术 12
322 ASP技术 13
3221 ASP Web数库安全漏洞 14
3222 ASP Web数库安全防护 15
323 JavaJDBC技术 17
第四章 Web数库安全理技术实现 19
41 Web数库安全模型 19
42 Web数库安全理技术 19
421 防火墙技术 20
422身份认证授权控制 21
423 监视踪审计 24
424 存储程 25
425 备份障恢复 25
43 案例分析 26
第五章 结束语 29
参考文献 30
鸣 谢 32
第章 引言
着WWW应领域断拓展已满足Web服务器浏览发布静态信息需通发表意见查询数甚进行网购物原静态Web页面已满足户信息服务动态性交互性求迫切需实现Web数库交互
Web数库两者结合意味Web数库存储理量重数然盗篡改会带巨政治济损失基广域网Web数库访问会带安全问题首先数库非法访问方面数通网络传输截取篡改黑客攻击系统瘫痪
动态Web断发展天赖性越越强开放性设计时信息保密系统安全考虑完备保护数库安全意识薄弱造成现数库攻击破坏事件层出穷日常生活济活动造成麻烦研究网络环境Web数库系统安全保障已成重课题
世纪九十年代初国接入Internet短短十年发展历程国网户总数1997年第次调查结果62万年年底升111亿互联网迅速普更国电子商务发展水渠成电子商务快速发展时网络安全问题始终笼罩头新互联网安全威胁报告：约16攻击针电子商务表明攻击者正出名目转获济利益目保证Web数库安全已整电子商务系统务急心B2BB2CWeb初基界面Web安全问题便突显出整网络安全首害问题
谓Web通常指WWW(World Wide Web)简称Web初开发类知识目某项目协作者提供相关信息交流思想途径Web采CS
软件体系结构发布信息通性Web赖寻址句法协议集数格式协商处理Web开放性灵活性空前广泛应Web站点建立日渐增加时国际WWW安全组CERT（Comouter Emergency Response Team）统计资料Internet中Web相关安全事呈升趋势W3组织学研究机构公司保证Web安全性种途径进行广泛研究
11 课题研究意义
目前Web技术数库理系统（DBMS）相互融合领域研究已成热点方数库厂家Web公司纷纷推出产品中间件支持Web技术DBMS融合两者取长补短发挥优势户Web浏览器方便检索数库容
Internet身没提供安全机制Web站点Internet连通访问户已受时间域限制完全规定操作流程进行操作直接输入址访问数库心欲采标签超级链接频繁BackFefresh等操作台数库构成直接威胁研究基Web数库安全技术信息系统安全保护着重现实意义
12 文目容作者贡献
Web数库中量信息集中存储数库中Internet相连接计算机终端间传输然Web安全性问题国外已作研究重数交换行中抵御外界攻击力然显十分脆弱文介绍种流行Web数库访问技术出发针Web数库安全问题建立Web数库安全体系初步模型数库系统安全控制进行详细阐述指出安全问题应预防应该构建Web数库服务器时意识加强数库服务器某方面防范措施希提高Web数库安全防范认识
第二章 Web数库研究现状设计目标
21 相研究课题特点优缺点分析
年Web数库安全问题关注呈升趋势专业性复杂性Web数库安全防护未达理想成果防范措施仁者见仁智者见智身份认证机制研究方便方法设置口令法设置口令方法中系统合法户分配唯UserIDPasswordPassword先天足程度极差容易猜出测设置口令法安全强度求较高系统适年提出更加效身份认证技术例智卡技术物理特征(指纹声纹手图等)认证技术等具高强度身份认证技术日益成熟取少应成果技术济等方面原普遍推广安全强度求较高系统定技术济条件会时文章值鉴方爱林基Web网络数安全体系建立完善中明介绍Web数库种访问技术针Web数库安全问题建立Web数库安全体系初步模型指出安全问题应预防应该构建Web数库服务器时时进行漏洞检测风险评估根检测结果意识加强数库服务器某方面防范措施窦丽华蒋庆华等基Web信息系统安全研究中研究基Web信息系统安全问题充分合理利操作系统Web服务器数库理系统提供安全设置效保证信息系统安全性利应程序具灵活性弥补操作系统Web服务器数库理系统安全漏洞结合某单位业务信息系统案例分操作系统Web服务器数库理系统应程序4方面安全问题进行分析时出建议
Web数库安全防护条长远路通断改进完善断实践效防范入侵
22 现行研究存问题解决办法
Web数库安全系统性综合性问题涉范围广进行系统设计时孤立考虑结合实际层层设防问题效解决实际层安全仅利种安全技术提供安全服务抵抗攻击实际系统采安全策略安全措施相根具体应象权衡安全求需花费代价进行选择适安全策略应技术样入侵者手段断提高安全防范永久性问题通断改进完善安全手段保证系统正常运行提高系统性
23 课题达设计目标
数库系统户提供完善方便信息数服务实现数信息享设计数库安全系统目合理效解决数库中数信息享问题安全数库中保证授权合法户数效存取严格拒绝非法户攻击企图具体说数库安全系统设计目标3方面：
（1)数完整性
数完整性指数正确性致性相容性系统允许授权合法户存取数库中数信息破坏数完整性前提时系统应该杜绝非法户数信息进行存取操作包括窃取破坏程序发存取数库中数会造成数致性安全系统具保证数致性功
（2)数性
系统授权合法户申请存取权存取数时安全系统应该量减合法操作影响换句话说采安全机制明显降低数库系统操作性
（3)数保密性
安全系统应该提供高强度加密方案数库中机敏数进行加密处理系统合法户访问权访问数时系统相应数进行解密操作否系统应保持机敏数加密状态防止非法户窃取明文信息系统进行攻击
第三章 Web数库访问技术安全分析
31 Web数库安全威胁
数库处网络户服务暴露网络中网络户访问数库种情况数库访问控制通户控制户名密码进行知道密码户访问增加密码保护理难度时户名密码通Internet传输容易窃取
次数应放读取数通Web传输数缺乏效安全措施保护截取篡改
外Web数库中存储着量数信息成信息系统关键需数库数库计算机够安全运行数库放Internet中容易受黑客种攻击
着网络信息系统应数库远程访问安全问题日益突出问题采网络传输加密户身份认证等安全措施解决日前流数网络传输部分数库厂家完成恰恰缺少安全措施述安全技术普通数库系统中难直接应外利操作系统数库理系统提供安全保护功常数库安全解决方案Internet身没提供安全机制Web站点Internet连通访问
Web数库受威胁致包括泄漏窃取窜改充延迟重传遗失越权存取数否认已收送数侵犯隐私权等
例ASP+Access安全隐患Access数库载漏洞
Access做台数库时果Access（*mdb）路径数库名称进行安全设置该数库窃取载现实生活中许者记忆方便种证卡惯性密码果载Access信息放户名称密码口令资金帐户等重信息旦密码泄漏会波密码失效甚会户带重损失非常危险
Access安全威胁原：
（1）Access数库址路径简单
Access数库载存放数库路径数库名称获知般情况网络黑客先网站普通访问中户网站IP址然通访问数库交互功级子目录（例通表单等）推断存数库文件效路径（显示址栏里）通查源代码获知数库文件名（点鼠标右键）然址栏里输入含*mdb址Access数库获数表信息例户建立yuangongmdb（员工事信息库）放虚拟目录work 果没事先yuangongmdb进行安全加密处理浏览器址栏键入：http户网站IP址workyuangongmdbyuangongmdb整文件会轻易载文件中重数信息会轻易窃取
（2）网络免费软件导致数安全问题
许网络员没足够时间精力开发具针性应程序聊天室bbs坛留言板网络Office办公软件等采直接网载方法满足急程序源代码公开数库名存放路径基秘密言果安全措施力加处理会数库安全带非常危险
（3）服务器操作系统安全隐患
现Windows NT2000 Server作服务器操作系统户非常流Windows 2000 Server目录权限默认设置安全性较差网知道Web服务器运行起少NTFS进行权限设置服务器甚未禁止文件目录访问控制必然会带安全漏洞果 FAT分区ASP程序中File Access组件FileSystemObiect象部分文件（文文件）进行读写目录操作文件复制更名删修改载FAT分区文件ASP程序采非编译性语言程序源代码安全性非常低进入站点获源代码造成
ASP应程序源代码泄露
（4）程序设计中安全隐患
数ASP程序利表单（Form）实现户交互功相应容会反映浏览器址栏中果采适安全措施记容绕验证直接进入某页面例浏览器中键入……some ASPid1表单页面直接进入满足id1条件页面设计验证注册页面时必须采取特殊措施避免类问题发生提高数库安全性设计者出安全考虑ASP应程序中Access连接语句外存取命名conninc代码：<#include fileconninc>认样Access数库转藏起客户端数库真实路径名称实inc 文件通网络容易载Access文件夹做变动文件路径会暴露疑
32 Web数库访问技术
Web目前Internet发展快Internet网重信息检索手段进行网数高效存取实现交互动态Web页面必须量数资源基础必然引入数库系统出现Web数库许数库WWW商家数库Web连接性作发展战略重组成部分
321 CGIAPI技术
通网关接口种早Web数库连接技术作Web服务器数库服务器中间件负责理两者通信提供应程序服务户Web浏览器THML形式Web服务器提出访问数库请求Web服务器收请求通CGIHTML转化SQL访问Web数库查询结果通CGI转化HTML形式送回浏览器完成浏览器数库交互
针CGI低效问题开发API（Application Programming Interface）API通常动态连接库（DLL）方式提供驻留Web服务器程序作CGI相似扩展Web服务器功连接模型见图1Web API技术特点Web服务器处址空间执行效率较高
Web浏览器
数库
CGIAPI中间件
Web服务器
图1 CGIAPI Web数库连接模型
Web数库漏洞成致分：
（1）配置形成Web数库漏洞
数Web服务器提供两种方式存储CGIAPI程序：CGIAPI程序统保存特定目录CGIAPI程序HTML文档图存放HTML文档直接户访问果第二种方式存储CGIAPI程序户阅读载CGIAPI程序达利目
（2）编写CGIAPI 程序语言身缺陷导致Web数库安全隐患
目前编写CGIAPI 程序语言Shell 脚Perl 脚C 语言C 语言串处理功强处理串时般建立预定义空间收集户输入户输入数越界时容易造成缓区溢出
（3）分相信户输入信息形成Web数库漏洞
许考虑全CGIAPI 程序中总期户输入数预期格式定义预料户输入存种绕预定义格式脚发送机数
（4）CGIAPI 程序中没滤掉某特殊字符形成安全漏洞
例没滤 易泄露系统文件没滤 ＄易导致网页中敏感信息泄露等
322 ASP技术
ASP（Active Server Page）技术Microsoft开发新技术结合CGI程序API技术优点HTMLScriptActiveX组件机结合起生成交互性高效率Web服务器应程序ASP脚种方式访问数库ADO（Active Data Object）方式种方式中ASP数库访问通置象
DAC（Database Access Component）数库访问软件SDO实现实现ODBC兼容数库OLE DB数源高性连接ADO允许网络开发者方便DB激活网页相连接便存取操作数ASP应程序服务器端运行浏览器运行实现ASP浏览器关性
Web浏览器
ASP
DLL
数库
HTML页面
ASP
HTTPP
ADO
ODBC
图2 ASP Web数库连接模型
3221 ASP Web数库安全漏洞
（1）ACCESS数库载漏洞
通常户猜服务器数库名字路径非常怕事情网站惯户注册信息密码放数中旦补攻击者载会网站造成估量损失载数库aamdb
httpwwwjkxztceducnaamdb
（2）引号造成漏洞
网站注册户名密码放数库中登录程序中SQL语句查询数库核数
<
dim connrs
Set connServerCreateObject(ADODBConnection)
connOpenProviderMicrosoftJetOLEDB40DataSource& ServerMapPath(test1mdb)
set rsservercreateobject(adodbrecordset)
rslocktype3
rscursortype0
NoRequest(password)
NameRequest(userName)
rsopen Select * From user Where密码＇&No&＇ And 姓名＇&Name&＇conn If rs Is Nothing Then
End If
>
时攻击者构造样密nihao＇or＇1＇1通数验证什呢请生成查询语句知
rsopen Select * From user Where密码＇nihao＇or＇1＇＇1＇And姓名＇&Name&＇conn＇1＇＇1＇永远TRUE通验证
（3）URL直接请求漏洞
果攻击者知道ASP页面路径文件名文件验证进入户直接请求包含ASP文件路径文件名URL进入该页面
httpwwwjkxztceducnsunliasp
甚攻击者伪造参数挂URL面形成GET类型HTTP请求服务器端正Querystring环境变量采集数者根没指定接受数方式户伪造参数服务器端验证通常攻击文件网站中没提供链接系统维护员远程操作入口
httpwwwjkxztceducnsunliaspusernamejacky&passwordpassword
采面介绍特殊户名密码构造方式入侵系统理员进入页面
3222 ASP Web数库安全防护
(1) 防护Access数库载漏洞
解决漏洞方法规数库名字路径
首先数库文件名称起复杂规名字放级目录程序员设计网站数库时常会觉数库起网站题非常接名字攻击者留机：卖东西网购物网站台数库起名
shoppingmdb者ebuymdb等会攻击者猜测出名字具较保密性文件名般包括特殊字符字母数字混合等量规单词者单词组合作数库需保密文件文件名例数库起名ax35t7xmdb样文件名攻击者难猜出
次数库文件放级目录目录名称量太规程序员喜欢网站类文件分门类放置文件夹文件夹起代表中放置文件属性名字：数库文件放置＼database＼somemdb容易攻击者猜测出数库类需特注意安全性文件量放含义明显文件夹适构造规文件目录然数库文件放户构造级规目录例数库文件放＼ddaa9＼iop76＼ss5y6＼somemdb样攻击者想通猜测获数库名字路径非常难
（2）防护引号造成漏洞
解决漏洞方法修改单引号
SQL语句中单引号进行修改面函数转换
Function sqlstr(data)
Sqlstr＇&Replace(data＇＇＇)&＇
End function
SQL中存单引号换成双单引号连形式避免单引号前匹配造成攻击者饶户名密码验证漏洞通常样函数：
sqlselect * from user where username
sqlsql & sqlstr(username)
>
样攻击者构造诸＇nihao＇or＇1＇＇1＇样户名者密码sqlstr函数运算结果：
rsopen Select * From user Where密码＇nihao＇＇ or密码＇1＇<>＇1＇And姓名
＇&Name&＇0conn
样会产生or运算符导致SQL判断永远true情况
（3）防护URL直接请求漏洞
解决漏洞方法附加检验程序结合特殊Session变量值
通常重页面进入前需户名口令验证验证程序做真正页面前果验证程序中通户户名口令Session变量记录户输入户名口令Session(h9as3u8)username&passwordSession变量名字怪般说攻击者猜通户户名口令Response象Redirect方法重定重页面
重页面开头次检验Session变量值值仅求非空求特定户名密码组合成字符串果发现符合情况立终止程序执行(Responseend方法)者显示警告信息
323 JavaJDBC技术
JavaSUN公司发布种面象程序设计语言独特台独立性稳固性安全性网络提供良支持成Web数库强力开发工具Java语言标准开发包中包含套抽象窗口工具库AWT（abstract windows toolkit）应程序界面风格WindowsMacXWindows系统中保持致Java语言编制Applet程序易网传输客户机端运行会引起安全问题
Java语言中提供数库访问技术称JDBCJavaSoft公司设计第支持Java语言标准数库API微软公司ODBC（open database connectivity）概念标准相似处提供种关系型数库缝连接JDBC APISUN公司JavaSoft子公司开发标准统SQL数存取接口Java类组成类代表数连接SQL语句结果集等等允许Java应程序SQL语句发送数库服务器接受处理结果集JDBC机制Web API专数库Web Server：客户机运行Java Applet程序绕Web服务器直接数库服务器连接直接结果返回客户机浏览器节省中间层处理时间
JavaJDBC接口访问数库目前绝数浏览器支持Java开发接口程序软件配置没求需安装JDBS驱动程序JavaJDBC编写数库接口程序满足移植性通性扩展力等方面具优势
Web浏览器
Web服务器
Java Applet
数库
HTTP
图3 JDBC Web数库连接模型
种代表性Web数库连接技术连接技术RADObject Web PHP等等列举
第四章 Web数库安全理技术实现
41 Web数库安全模型
Web数库安全威胁涉许方面认安全措施应综合考虑具体采列技术措施：(1)安装防火墙(2)身份认证数完整性认证服务(3)机密敏感数进行加密存储传输(4)访问控制机制(5)安全审计监视追踪技术(6)数库备份障恢复Web数库安全模型见图1
防火墙
户
认证服务
Web数库服务器
数加密
访问控制
审计
备份
图4 Web数库安全模型
基Web理信息系统采3层ClientServer结构浏览器Web服务器数库服务器结构采ASP技术数库连接系统中浏览器Web服务器采HTTP协议彼通信户执行基Web数库应程序浏览器端发出某数库文件请求Web服务器接收请求直接通应程序访问数库激活ASP进行级安全性检测ASP利ADO服务器端创建连接象通ODBC访问台数库保存户基信息进行户鉴定拒绝非法户访问请求合法户根权限存取数返回处理结果
根基Web数库应系统特点采安装防火墙户身份认证数完整性认证服务机密敏感数进行加密存储传输访问控制机制安全审计监视追踪技术数库备份障恢复等安全理结束构筑理信息系统安全体系
42 Web数库安全理技术
构筑安全Web数库应系统两方面考虑首先构筑Web数库工作环境进行合理系统安全配置防止非法员攻击Web站点方面包括操作系统安全问题数库服务器安全性Web服务器安全性效配置防火墙机结合起Web数库建立安全工作环境中
次编制Web数库应程序时充分考虑安全性容错性情况应付行力方面包括设置登录Web数库站点户名口令级户设定操作权限访问数库旦受攻击效记录户什时候侵入服务器客户器端建立安全效传输通道传输程中数进行加密通数字签名验证户真实性等
方面孤立相互联系必须结合起方面层次考虑更构筑安全Web数库应系统
421 防火墙技术
防火墙（Firewall）技术种访问控制技术部网络（专网络）外部网络（公网络）间（InternetIntranet间）设立道防护栏界面构造保护层（隔离层）阻止信息资源非法访问强制连接必须保护层提供封闭逻辑环境保护部网络免遭非法入侵防火墙提供服务：保护易受攻击服务：控制特殊站点访问集中化安全理网络存取访问进行审计目前防火墙技术数包滤代理服务等技术单独结合起
（1）包滤技术
基路器技术包滤型防火墙位网络层根系统部设置访问控制表通网络层IP数包进行选择滤通数包包头信息中源IP址目IP址源端口号目端口号检查确定该数包否合法决定否允许通包滤限制部分浏览器数库访问黑客利Spoofing技术绕国资源路器创建带虚假IP址包进入Web站点数库进行侵犯时缺乏审计踪验证功
（2）代理技术
代理服务技术基网络应层作应层核心运行防火墙机代理服务器进程代网络户完成特定TCPIP功代理服务器实际特定网络应连接两网络网关种应服务必须相应代理外部网络部网络间建立连接必须通代理中间转换部网络接受代理服务提出服务请求拒绝外部网络直接连接代理技术优点完全控制通信双方会话程具户级身份验证日志理帐号理功提供滤路器更严格安全性：缺点缺乏透明性影响网络必须针项服务建立应应层网关提供全面安全保证势必严重限制新应引入挂接
结合述两种防火墙技术优缺点实际构建防火墙系统时通常滤器提供第级安全防护防止IP欺骗攻击代理服务器提供更高级安全防护机制防火墙技术然提供安全保证满足数库应系统安全问题实际求完整数库安全机制应户赋予访问权限建立视图应防火墙技术数库安全机制结合起
422身份认证授权控制
基Web数库应系统中包含量敏感数机密数保证系统数存储时网络传输时未授权户访问解读利户名标明户身份系统鉴户合法性利口令进步核实户身份保证口令安全口令提交程中采明文形式具体方法：先口令户名进行加密传送服务器接受进行解密者利安全套接字协议（SSL）加密方法通公密钥称性加密提供非公开通信身份验证信息继承样简化复杂性保证安全性客户服务器种防窃听防干扰防消息伪造方式通信
Web应程序级利身份认证机制保护限制ASP容求试图访问限制ASP容户必须拥效Windows NT帐号户名密码户试图防问限制容时Web服务器进行身份验证检查户否拥效Windows NT帐号
台数库中身份验证机制进步确认户合法性建立User户表信息包括登录名口令户名访问权限代码访问权限代表户数库进行读取插入修改操作权限组合户IP址滤WebBrowser端呈现户登录界面户系统提示输入登录名口令提交输入结果WebServer接受浏览器请求激活ASP通ADO驱动ODBCUser数库建立连接运行ASP处理程序户输入数库记录进行较合法户允许根权限访问数库否拒绝访问请求引导户注册
基Web数库应程序运行Internet环境中户完全机会程序员控制通简单操作绕登录页面躲避户名口令验证数库安全构成直接威胁防止非法户进入保护基
Web数库安全性利Session象HTTP headers信息实现安全控制
ASP提供Session置象户请求激活Session象Session变量整户工作期保持变利Session变量保持特定户信息户通户名口令验证Session象Session ID属性作Session变量存储起然次户试图导航种求效连接页面时较前Session ID存储Session象中ID匹配采适行动拒绝访问种方法作身份认证十分效进步完善ASP安全机制
浏览器Web Server发出请求时包含相数量HTTP标题头域信息REMOTE_ADDR标明提出请求机Internet址HTTP_REFERER表示户达前页链接应程序创建IIS理统目录保存路径信息应程序均<#Include virtualmyfileasa>方式先执行Myfileasa通判断HTTP_REFERER信息确定户合法性户直接输入URL通方式绕户名口令验证拒绝访问请求
Web应程序基础Web页面整系统功体现页面页面相互调完成整系统功页面记忆性独立性页面访问实际通URL实现果程序页面进行合法性检验证包含文件运行服务器端访问数库表查非法户知道户名口令知道某URL跳身份验证页面直接访问面数处理相关页面入侵系统核心数库中针述问题Web服务器建立Web户访问页面权限表访问数库页面具体数库表户名口令相应通该页面访问某数库表数库表实施某种操作系统求该数库表应户名口令必须输入户名口令致允许继续进行设想跳权限验证页面直接访问面数处理相关页面系统权限验证页面户名口令系统拒绝数库表操作需强调权限验证页面次重新显现必须求重新输入户名口令说次该页面重新出现页面回退该页面户名口令输入框必须动清空二访问数库表页面旦操作完该页面权限验证值动作废样保证操作数唯通道合法户数安全保护
网站数库进行保护防止访问者没访问权限网页需权限验证系统然配置IIS基验证模式Windows NT ChallengeResponse验证模式两种中种验证系统通改变文件权限强制户访问网页前输入密码基验证模式Windows NT ChallengeResponse验证模式存问题两种验证系统Windows NT安全体系相分离意味着新户注册时需手工添加户容易网页中访问修改密码户名
果想通密码保护理员特殊网页IIS提供两种验证系统行假想户提供权限级信息动新户进行注册需Web应系统中建立验证系统
建立权限验证系统需两数库表文件：权限信息表：保存权限信息
验证包含文件：需权限保护网页包含文件
权限信息表包含三字段第字段保存户名第二字段保存户密码第三字段保存应权限级
级信息表包含两字段第字段保存权限级第二字段保存该级应页面标识
两表信息数库理员进行理
时访问者试图访问权限保护网页时两表进行查询果表中查权限验证页面输入户名口令访问保护页面
验证包含文件运行服务器端访问数库表Web文件包含想进行权限保护网页页面中提供户输入名字密码功然权限表中查询输入名字密码果找户访问该页面果找根应级级信息表中查该级否该页面标识果没户访问该页面
般情况量普通查询户系统应提供动注册功具查询浏览权限动注册户拥种低级权限权限级应动注册户注册系统会动户名口令写入权限信息表时添入普通户级码
423 监视踪审计
日志系统具综合性数记录功动分类检索力完整日志仅包括户项操作包括网络中数接受正确性效性合法性检查结果日网络安全分析提供许应程序日志记录时候监督实日志分析预防入侵提高网络安全数库应胸中日志记录户登录开始起直退出系统止段时间中执行操作包括登录失败操作数库操作系统功等必须建立完善日志记录功外利现网络监视软件进行日志记录信息踪例日志监视踪进行潜黑客攻击检查单帐号户检查非工作时间操作检查等
解决户躲避户名口令验证采页面户基信息踪监视采ASP技术中QueryStringFormHidden类型保存户基信息应程序执行前先踪监视户信息否存户直接URL址访问数库会RequeryStringQueryStringRequestForm值空拒绝方法更进步提高系统安全性
审计确保查性审计作项安全技术信息系统安全着重作通设置完善审计机制时提供系统运行程中种疑现象关信息供关员时发现隐患审计功记录体访问客体轨迹记录容包括：站点情况服务器工作情况链接状态页面情况户情况访问时间户操作类型否成功等提高审计功必时需设置审计安全时间发生积累机制超定阈值时立刻发出报警提示应采取措施采审计功知道户正系统权限频率正登录户数会话均持续时间特殊表命令关事实
424 存储程
基Web数库应系统中建立存储程时通嵌SQL命令执行存储程中采户数分开方法种方法允许表完全访问更新提供实现表交互存储程户参数提供插入存储程插入存储程执行插入操作户提供检索条件检索存储程返回找数行办法处完全控制信息存储检索想户访问列忽略插入前需做附加处理做数存储检索说带更面象风格方法助保证数正确安全
425 备份障恢复
采取安全措施难保数库万失安全相安全绝数库攻破快恢复系统找出入侵者必须做系统数备份
备份障恢复实现信息系统安全运行重技术确保信息系统种测时间受破坏时快投入重保证信息系统受破坏程度需采取恢复措施备份求付灾难性破坏设置机系统远系统备份备机系统正常运行时启系统受非灾难性破坏时机系统通专备份设备进行全系统备份部分系统备份增量信息备份确保系统停机尝新启动正常运行会造成信息丢失
前计算机软硬件系统性改善采磁盘阵列等设备提高系统容错力更进步提高系统性然措施完美法保证系统安全做万失定程度减少存储介质障带损失操作员意外操作蓄意破坏性操作破坏性病毒攻击然灾害等原引起系统障措施力定期进行数备份保证系统安全项重措施意外情况发生时备份数恢复数库
目前快然昂贵保护准备备份服务器时代服务器备份服务器必须支持Microsoft SQL Server运行完整备份数库系统户帐户事务处理日志数库转储服务器创建必须迅速装载备份服务器果服务器需中止工作段时间需投入备份服务器代服务器
备份服务器接事务处理日志象什事情没发生服务器镜备份称双机热备份基成原考虑尤双机热备份(专门服务器配置样计算机备份服务器)采者较少采异机备份策略济备份方式特服务器崩溃Microsoft SQL Server系统崩溃时时双机热备份启备份服务器直接外通种备份策略(包括异机备份策略)必须重装服务器操作系统(Microsoft Windows NT)重装Microsoft SQL Server采异机备份策略必担心时需装Microsoft SQL Server异机传送数恢复
具体做法局域网台工作站计算机安装Microsoft Windows NTMicrosoft SQL Server该机建立服务器中数库名数库利Microsoft SQL Server系统身提供异机传送工具(Microsoft SQL Enterprise Manager中Tools菜单DatabaseObject Transfer)通设置定时(月周日时)计算机动服务器中数库数传送该工作站机数库中样旦服务器(操作系统)崩溃Microsoft SQL Server系统崩溃时重装服务器操作系统(Microsoft Windows NT)重装Microsoft SQL Server然采异机传送工具通该工作站数传回服务器Microsoft SQL Server数库中确保数安全恢复
43 案例分析
知道SQL种结构化查询语言功相强基Web脚语言+台书系统动态网站通SQL语言查询数库更新数库浏览网页时通常提交信息户登录名密码信息条目ID等服务器应程序会浏览器提交数进行处理然返回相应信息浏览器里举验证登录例子说明SQL注入原理
假设某网站数库中login表存放户登录信息包含usernamepassword等字段网站应程序根户提交数生成SQL查询语句果查询返回记录>1户通验证反登录失败设户提交户名：abc密码：123生成SQL语句：select *form login where usernameabc’ and password
123’
果login表中存usernameabc密码123户登录成功正常情况果户提交户名：abc’or’密码：123’or’时样呢？时生成SQL语句：select *from login where usernameabc’or’’and password123’or’’
时login表中否存usernameabc密码123户login表中记录登录成功’’（空字符空字符）恒成立发现数库服务器提交户名仅仅作户名处理分成两段取abc’成户名构成逻辑关系式usernameabc’余部分or’’组成逻辑关系式：usernameabc’or’’显然关系式恒真样提交密码处理说述SQL语句where子句分析：where[（usernameabc’）or（’’）]and[（password123’）or（’’）]记录逻辑关系值皆真必然登录成功
户通提交特殊户名密码绕登录验证原程序户提交信息没合法性检查直接构造SQL语句
通面叙述已解SQL注入攻击危害相严重防范SQL注入首先然户提交数进行严格滤数值型参数滤较简单般isNumeric（）函数判断否包含非数字字符字符型参数需单引号双引号—号分号等等进行滤户提交参数长度进行判断属非法者程序出错误提示
防范SQL注入行办法摒弃动态SQL语句改户存储程访问操作数库需建立数库仔细考虑Web程序需数库进行种操作建立存储程然Web程序调存储程完成数库操作样户提交数生成动态SQL语句确确实实作参数传递存储程效阻断SQL注入途径
第五章 结束语
Web安全已成网络安全重领域层出穷攻击手段原脆弱Web数库更加容易瘫痪文总结前验加见解Web数库访问技术着手讲述CGIAPIASPJAVA等技术安全隐患防范措施然分介绍防火墙身份认证授权控制监视踪审计存储程备份等常安全技术
Web数库安全威胁涉方面全局性问题新攻击手段方法断涌现构筑起面面俱安全体系困难访问控制机制数加密防火墙技术解决问题方面实际系统中应单独某项技术应该综合考虑种技术构成机结合体
参考文献：
[1] 许龙飞基Web数库技术应现代计算机2000（2）：1415
[2] 王国荣朱琳杰王伟Active Server Pages&数库北京：民邮电出版社1999：139269
[3] 道焰朱世挺等CGI技术安全性研究 [J]计算机系统应1997 (12)
[4] 周世雄编IIS40超级网站速成青岛：青岛出版社1999：33299
[5] 蔡丹媚利ASP轻松实现Web动态交互访问计算机应研究1999 （2）：6263
[6] Arman DaneshWes Tatters著陈卓张知等译Java Script 11开发指南清华学出版社1998
[7] 宵金秀冯沃辉卢国旺中文Dreamweaver3网页设计制作北京：中国民航出版社20005：117130
[8]Palo AltoOverview of Control NetworkCA 94304
[9]张国祥基ApacheWeb安全技术应研究[J]武汉理工学学报2004(3)
[10]Java 2 Platform [M]Enterprise Edition By Anne Thomas
[11]刑春晓潘泉张洪通Web数库系统体系结构研究[J]计算机工程应19999：35(9)：9093
[12] [美] Curt JangJeff Chow 著周志英等译Web网INTRANET信息出版技术电子工业出版社1997
[13]Gunnit SKhunrana等Web数库建立理机械工业出版社1997
[14]罗明宇等计算机网络安全技术[J]计算机科学2000(10)：5558
[15]王英凯证券交易系统中数库安全性[J]兰州学学报35：531533
[16]张少敏王保义基WebMIS中数库安全性策略[J]华北电力技术2002P4590
[17]罗昌隆李玲娟基Web数库访问技术[J]南京邮电学院学报20017P3032
[18]吕峰刘晓东等基Web网络数库安全系统研究[J]武汉工业学院学报20036P5154
[19]程万军 张霞 刘积仁基扩展客体层次结构安全数库策略模型[J]软件学报20029P4042
[20]李建中日新月异数库研究领域——数库技术回顾展[J]黑龙江学然科学学报200219(2)：4352
鸣 谢
文导师范鸣老师精心指导完成文研究程中导师渊博学识严谨治学态度受益匪浅导师学生活思想予指导关怀终生难忘首先范老师致深深谢意衷感谢导师关心帮助
文进行程中余建军老师热心帮助余老师提供思路验深入理解课题关知识方法起重作余老师表示深深感谢
时学校次毕业设计机会锻炼学校位老师表示诚挚感谢
文研究程中予帮助老师学朋友表示衷感谢
文档香网(httpswwwxiangdangnet)户传
《香当网》用户分享的内容，不代表《香当网》观点或立场，请自行判断内容的真实性和可靠性！
该内容是文档的文本内容，更好的格式请下载文档
摘
计算机网络技术广泛应信息安全提出更高求信息系统开发设计程中安全性总放首位置成信息系统生存关键数库基WEB信息系统核心组成部分面外部部双重威胁进行加密等安全处理进行数保护效手段文介绍种流行Web数库访问技术时针Web数库安全问题出初步安全模型
关键词：数库Web安全访问控制
Summary
The wide applications of computer and Internet technology call for a higher demand on the information security In the process of exploring and designing an information system security has always been given the first priority which is critical for the survival of the information system As the nuclear part of WEB information system database faces the double threats coming internally and externally Do such as encryption security process becomes the effective means for data protection Several popular access technologies are introduced and a primary security model of Web Database is given in the paper
Key words Database Web safety access control
目 录
第章 引言 6
11 课题研究意义 7
12 文目容作者贡献 7
第二章 Web数库研究现状设计目标 8
21 相研究课题特点优缺点分析 8
22 现行研究存问题解决办法 8
23 课题达设计目标 9
第三章 Web数库访问技术安全分析 10
31 Web数库安全威胁 10
32 Web数库访问技术 12
321 CGIAPI技术 12
322 ASP技术 13
3221 ASP Web数库安全漏洞 14
3222 ASP Web数库安全防护 15
323 JavaJDBC技术 17
第四章 Web数库安全理技术实现 19
41 Web数库安全模型 19
42 Web数库安全理技术 19
421 防火墙技术 20
422身份认证授权控制 21
423 监视踪审计 24
424 存储程 25
425 备份障恢复 25
43 案例分析 26
第五章 结束语 29
参考文献 30
鸣 谢 32
第章 引言
着WWW应领域断拓展已满足Web服务器浏览发布静态信息需通发表意见查询数甚进行网购物原静态Web页面已满足户信息服务动态性交互性求迫切需实现Web数库交互
Web数库两者结合意味Web数库存储理量重数然盗篡改会带巨政治济损失基广域网Web数库访问会带安全问题首先数库非法访问方面数通网络传输截取篡改黑客攻击系统瘫痪
动态Web断发展天赖性越越强开放性设计时信息保密系统安全考虑完备保护数库安全意识薄弱造成现数库攻击破坏事件层出穷日常生活济活动造成麻烦研究网络环境Web数库系统安全保障已成重课题
世纪九十年代初国接入Internet短短十年发展历程国网户总数1997年第次调查结果62万年年底升111亿互联网迅速普更国电子商务发展水渠成电子商务快速发展时网络安全问题始终笼罩头新互联网安全威胁报告：约16攻击针电子商务表明攻击者正出名目转获济利益目保证Web数库安全已整电子商务系统务急心B2BB2CWeb初基界面Web安全问题便突显出整网络安全首害问题
谓Web通常指WWW(World Wide Web)简称Web初开发类知识目某项目协作者提供相关信息交流思想途径Web采CS
软件体系结构发布信息通性Web赖寻址句法协议集数格式协商处理Web开放性灵活性空前广泛应Web站点建立日渐增加时国际WWW安全组CERT（Comouter Emergency Response Team）统计资料Internet中Web相关安全事呈升趋势W3组织学研究机构公司保证Web安全性种途径进行广泛研究
11 课题研究意义
目前Web技术数库理系统（DBMS）相互融合领域研究已成热点方数库厂家Web公司纷纷推出产品中间件支持Web技术DBMS融合两者取长补短发挥优势户Web浏览器方便检索数库容
Internet身没提供安全机制Web站点Internet连通访问户已受时间域限制完全规定操作流程进行操作直接输入址访问数库心欲采标签超级链接频繁BackFefresh等操作台数库构成直接威胁研究基Web数库安全技术信息系统安全保护着重现实意义
12 文目容作者贡献
Web数库中量信息集中存储数库中Internet相连接计算机终端间传输然Web安全性问题国外已作研究重数交换行中抵御外界攻击力然显十分脆弱文介绍种流行Web数库访问技术出发针Web数库安全问题建立Web数库安全体系初步模型数库系统安全控制进行详细阐述指出安全问题应预防应该构建Web数库服务器时意识加强数库服务器某方面防范措施希提高Web数库安全防范认识
第二章 Web数库研究现状设计目标
21 相研究课题特点优缺点分析
年Web数库安全问题关注呈升趋势专业性复杂性Web数库安全防护未达理想成果防范措施仁者见仁智者见智身份认证机制研究方便方法设置口令法设置口令方法中系统合法户分配唯UserIDPasswordPassword先天足程度极差容易猜出测设置口令法安全强度求较高系统适年提出更加效身份认证技术例智卡技术物理特征(指纹声纹手图等)认证技术等具高强度身份认证技术日益成熟取少应成果技术济等方面原普遍推广安全强度求较高系统定技术济条件会时文章值鉴方爱林基Web网络数安全体系建立完善中明介绍Web数库种访问技术针Web数库安全问题建立Web数库安全体系初步模型指出安全问题应预防应该构建Web数库服务器时时进行漏洞检测风险评估根检测结果意识加强数库服务器某方面防范措施窦丽华蒋庆华等基Web信息系统安全研究中研究基Web信息系统安全问题充分合理利操作系统Web服务器数库理系统提供安全设置效保证信息系统安全性利应程序具灵活性弥补操作系统Web服务器数库理系统安全漏洞结合某单位业务信息系统案例分操作系统Web服务器数库理系统应程序4方面安全问题进行分析时出建议
Web数库安全防护条长远路通断改进完善断实践效防范入侵
22 现行研究存问题解决办法
Web数库安全系统性综合性问题涉范围广进行系统设计时孤立考虑结合实际层层设防问题效解决实际层安全仅利种安全技术提供安全服务抵抗攻击实际系统采安全策略安全措施相根具体应象权衡安全求需花费代价进行选择适安全策略应技术样入侵者手段断提高安全防范永久性问题通断改进完善安全手段保证系统正常运行提高系统性
23 课题达设计目标
数库系统户提供完善方便信息数服务实现数信息享设计数库安全系统目合理效解决数库中数信息享问题安全数库中保证授权合法户数效存取严格拒绝非法户攻击企图具体说数库安全系统设计目标3方面：
（1)数完整性
数完整性指数正确性致性相容性系统允许授权合法户存取数库中数信息破坏数完整性前提时系统应该杜绝非法户数信息进行存取操作包括窃取破坏程序发存取数库中数会造成数致性安全系统具保证数致性功
（2)数性
系统授权合法户申请存取权存取数时安全系统应该量减合法操作影响换句话说采安全机制明显降低数库系统操作性
（3)数保密性
安全系统应该提供高强度加密方案数库中机敏数进行加密处理系统合法户访问权访问数时系统相应数进行解密操作否系统应保持机敏数加密状态防止非法户窃取明文信息系统进行攻击
第三章 Web数库访问技术安全分析
31 Web数库安全威胁
数库处网络户服务暴露网络中网络户访问数库种情况数库访问控制通户控制户名密码进行知道密码户访问增加密码保护理难度时户名密码通Internet传输容易窃取
次数应放读取数通Web传输数缺乏效安全措施保护截取篡改
外Web数库中存储着量数信息成信息系统关键需数库数库计算机够安全运行数库放Internet中容易受黑客种攻击
着网络信息系统应数库远程访问安全问题日益突出问题采网络传输加密户身份认证等安全措施解决日前流数网络传输部分数库厂家完成恰恰缺少安全措施述安全技术普通数库系统中难直接应外利操作系统数库理系统提供安全保护功常数库安全解决方案Internet身没提供安全机制Web站点Internet连通访问
Web数库受威胁致包括泄漏窃取窜改充延迟重传遗失越权存取数否认已收送数侵犯隐私权等
例ASP+Access安全隐患Access数库载漏洞
Access做台数库时果Access（*mdb）路径数库名称进行安全设置该数库窃取载现实生活中许者记忆方便种证卡惯性密码果载Access信息放户名称密码口令资金帐户等重信息旦密码泄漏会波密码失效甚会户带重损失非常危险
Access安全威胁原：
（1）Access数库址路径简单
Access数库载存放数库路径数库名称获知般情况网络黑客先网站普通访问中户网站IP址然通访问数库交互功级子目录（例通表单等）推断存数库文件效路径（显示址栏里）通查源代码获知数库文件名（点鼠标右键）然址栏里输入含*mdb址Access数库获数表信息例户建立yuangongmdb（员工事信息库）放虚拟目录work 果没事先yuangongmdb进行安全加密处理浏览器址栏键入：http户网站IP址workyuangongmdbyuangongmdb整文件会轻易载文件中重数信息会轻易窃取
（2）网络免费软件导致数安全问题
许网络员没足够时间精力开发具针性应程序聊天室bbs坛留言板网络Office办公软件等采直接网载方法满足急程序源代码公开数库名存放路径基秘密言果安全措施力加处理会数库安全带非常危险
（3）服务器操作系统安全隐患
现Windows NT2000 Server作服务器操作系统户非常流Windows 2000 Server目录权限默认设置安全性较差网知道Web服务器运行起少NTFS进行权限设置服务器甚未禁止文件目录访问控制必然会带安全漏洞果 FAT分区ASP程序中File Access组件FileSystemObiect象部分文件（文文件）进行读写目录操作文件复制更名删修改载FAT分区文件ASP程序采非编译性语言程序源代码安全性非常低进入站点获源代码造成
ASP应程序源代码泄露
（4）程序设计中安全隐患
数ASP程序利表单（Form）实现户交互功相应容会反映浏览器址栏中果采适安全措施记容绕验证直接进入某页面例浏览器中键入……some ASPid1表单页面直接进入满足id1条件页面设计验证注册页面时必须采取特殊措施避免类问题发生提高数库安全性设计者出安全考虑ASP应程序中Access连接语句外存取命名conninc代码：<#include fileconninc>认样Access数库转藏起客户端数库真实路径名称实inc 文件通网络容易载Access文件夹做变动文件路径会暴露疑
32 Web数库访问技术
Web目前Internet发展快Internet网重信息检索手段进行网数高效存取实现交互动态Web页面必须量数资源基础必然引入数库系统出现Web数库许数库WWW商家数库Web连接性作发展战略重组成部分
321 CGIAPI技术
通网关接口种早Web数库连接技术作Web服务器数库服务器中间件负责理两者通信提供应程序服务户Web浏览器THML形式Web服务器提出访问数库请求Web服务器收请求通CGIHTML转化SQL访问Web数库查询结果通CGI转化HTML形式送回浏览器完成浏览器数库交互
针CGI低效问题开发API（Application Programming Interface）API通常动态连接库（DLL）方式提供驻留Web服务器程序作CGI相似扩展Web服务器功连接模型见图1Web API技术特点Web服务器处址空间执行效率较高
Web浏览器
数库
CGIAPI中间件
Web服务器
图1 CGIAPI Web数库连接模型
Web数库漏洞成致分：
（1）配置形成Web数库漏洞
数Web服务器提供两种方式存储CGIAPI程序：CGIAPI程序统保存特定目录CGIAPI程序HTML文档图存放HTML文档直接户访问果第二种方式存储CGIAPI程序户阅读载CGIAPI程序达利目
（2）编写CGIAPI 程序语言身缺陷导致Web数库安全隐患
目前编写CGIAPI 程序语言Shell 脚Perl 脚C 语言C 语言串处理功强处理串时般建立预定义空间收集户输入户输入数越界时容易造成缓区溢出
（3）分相信户输入信息形成Web数库漏洞
许考虑全CGIAPI 程序中总期户输入数预期格式定义预料户输入存种绕预定义格式脚发送机数
（4）CGIAPI 程序中没滤掉某特殊字符形成安全漏洞
例没滤 易泄露系统文件没滤 ＄易导致网页中敏感信息泄露等
322 ASP技术
ASP（Active Server Page）技术Microsoft开发新技术结合CGI程序API技术优点HTMLScriptActiveX组件机结合起生成交互性高效率Web服务器应程序ASP脚种方式访问数库ADO（Active Data Object）方式种方式中ASP数库访问通置象
DAC（Database Access Component）数库访问软件SDO实现实现ODBC兼容数库OLE DB数源高性连接ADO允许网络开发者方便DB激活网页相连接便存取操作数ASP应程序服务器端运行浏览器运行实现ASP浏览器关性
Web浏览器
ASP
DLL
数库
HTML页面
ASP
HTTPP
ADO
ODBC
图2 ASP Web数库连接模型
3221 ASP Web数库安全漏洞
（1）ACCESS数库载漏洞
通常户猜服务器数库名字路径非常怕事情网站惯户注册信息密码放数中旦补攻击者载会网站造成估量损失载数库aamdb
httpwwwjkxztceducnaamdb
（2）引号造成漏洞
网站注册户名密码放数库中登录程序中SQL语句查询数库核数
<
dim connrs
Set connServerCreateObject(ADODBConnection)
connOpenProviderMicrosoftJetOLEDB40DataSource& ServerMapPath(test1mdb)
set rsservercreateobject(adodbrecordset)
rslocktype3
rscursortype0
NoRequest(password)
NameRequest(userName)
rsopen Select * From user Where密码＇&No&＇ And 姓名＇&Name&＇conn If rs Is Nothing Then
End If
>
时攻击者构造样密nihao＇or＇1＇1通数验证什呢请生成查询语句知
rsopen Select * From user Where密码＇nihao＇or＇1＇＇1＇And姓名＇&Name&＇conn＇1＇＇1＇永远TRUE通验证
（3）URL直接请求漏洞
果攻击者知道ASP页面路径文件名文件验证进入户直接请求包含ASP文件路径文件名URL进入该页面
httpwwwjkxztceducnsunliasp
甚攻击者伪造参数挂URL面形成GET类型HTTP请求服务器端正Querystring环境变量采集数者根没指定接受数方式户伪造参数服务器端验证通常攻击文件网站中没提供链接系统维护员远程操作入口
httpwwwjkxztceducnsunliaspusernamejacky&passwordpassword
采面介绍特殊户名密码构造方式入侵系统理员进入页面
3222 ASP Web数库安全防护
(1) 防护Access数库载漏洞
解决漏洞方法规数库名字路径
首先数库文件名称起复杂规名字放级目录程序员设计网站数库时常会觉数库起网站题非常接名字攻击者留机：卖东西网购物网站台数库起名
shoppingmdb者ebuymdb等会攻击者猜测出名字具较保密性文件名般包括特殊字符字母数字混合等量规单词者单词组合作数库需保密文件文件名例数库起名ax35t7xmdb样文件名攻击者难猜出
次数库文件放级目录目录名称量太规程序员喜欢网站类文件分门类放置文件夹文件夹起代表中放置文件属性名字：数库文件放置＼database＼somemdb容易攻击者猜测出数库类需特注意安全性文件量放含义明显文件夹适构造规文件目录然数库文件放户构造级规目录例数库文件放＼ddaa9＼iop76＼ss5y6＼somemdb样攻击者想通猜测获数库名字路径非常难
（2）防护引号造成漏洞
解决漏洞方法修改单引号
SQL语句中单引号进行修改面函数转换
Function sqlstr(data)
Sqlstr＇&Replace(data＇＇＇)&＇
End function
SQL中存单引号换成双单引号连形式避免单引号前匹配造成攻击者饶户名密码验证漏洞通常样函数：
sqlselect * from user where username
sqlsql & sqlstr(username)
>
样攻击者构造诸＇nihao＇or＇1＇＇1＇样户名者密码sqlstr函数运算结果：
rsopen Select * From user Where密码＇nihao＇＇ or密码＇1＇<>＇1＇And姓名
＇&Name&＇0conn
样会产生or运算符导致SQL判断永远true情况
（3）防护URL直接请求漏洞
解决漏洞方法附加检验程序结合特殊Session变量值
通常重页面进入前需户名口令验证验证程序做真正页面前果验证程序中通户户名口令Session变量记录户输入户名口令Session(h9as3u8)username&passwordSession变量名字怪般说攻击者猜通户户名口令Response象Redirect方法重定重页面
重页面开头次检验Session变量值值仅求非空求特定户名密码组合成字符串果发现符合情况立终止程序执行(Responseend方法)者显示警告信息
323 JavaJDBC技术
JavaSUN公司发布种面象程序设计语言独特台独立性稳固性安全性网络提供良支持成Web数库强力开发工具Java语言标准开发包中包含套抽象窗口工具库AWT（abstract windows toolkit）应程序界面风格WindowsMacXWindows系统中保持致Java语言编制Applet程序易网传输客户机端运行会引起安全问题
Java语言中提供数库访问技术称JDBCJavaSoft公司设计第支持Java语言标准数库API微软公司ODBC（open database connectivity）概念标准相似处提供种关系型数库缝连接JDBC APISUN公司JavaSoft子公司开发标准统SQL数存取接口Java类组成类代表数连接SQL语句结果集等等允许Java应程序SQL语句发送数库服务器接受处理结果集JDBC机制Web API专数库Web Server：客户机运行Java Applet程序绕Web服务器直接数库服务器连接直接结果返回客户机浏览器节省中间层处理时间
JavaJDBC接口访问数库目前绝数浏览器支持Java开发接口程序软件配置没求需安装JDBS驱动程序JavaJDBC编写数库接口程序满足移植性通性扩展力等方面具优势
Web浏览器
Web服务器
Java Applet
数库
HTTP
图3 JDBC Web数库连接模型
种代表性Web数库连接技术连接技术RADObject Web PHP等等列举
第四章 Web数库安全理技术实现
41 Web数库安全模型
Web数库安全威胁涉许方面认安全措施应综合考虑具体采列技术措施：(1)安装防火墙(2)身份认证数完整性认证服务(3)机密敏感数进行加密存储传输(4)访问控制机制(5)安全审计监视追踪技术(6)数库备份障恢复Web数库安全模型见图1
防火墙
户
认证服务
Web数库服务器
数加密
访问控制
审计
备份
图4 Web数库安全模型
基Web理信息系统采3层ClientServer结构浏览器Web服务器数库服务器结构采ASP技术数库连接系统中浏览器Web服务器采HTTP协议彼通信户执行基Web数库应程序浏览器端发出某数库文件请求Web服务器接收请求直接通应程序访问数库激活ASP进行级安全性检测ASP利ADO服务器端创建连接象通ODBC访问台数库保存户基信息进行户鉴定拒绝非法户访问请求合法户根权限存取数返回处理结果
根基Web数库应系统特点采安装防火墙户身份认证数完整性认证服务机密敏感数进行加密存储传输访问控制机制安全审计监视追踪技术数库备份障恢复等安全理结束构筑理信息系统安全体系
42 Web数库安全理技术
构筑安全Web数库应系统两方面考虑首先构筑Web数库工作环境进行合理系统安全配置防止非法员攻击Web站点方面包括操作系统安全问题数库服务器安全性Web服务器安全性效配置防火墙机结合起Web数库建立安全工作环境中
次编制Web数库应程序时充分考虑安全性容错性情况应付行力方面包括设置登录Web数库站点户名口令级户设定操作权限访问数库旦受攻击效记录户什时候侵入服务器客户器端建立安全效传输通道传输程中数进行加密通数字签名验证户真实性等
方面孤立相互联系必须结合起方面层次考虑更构筑安全Web数库应系统
421 防火墙技术
防火墙（Firewall）技术种访问控制技术部网络（专网络）外部网络（公网络）间（InternetIntranet间）设立道防护栏界面构造保护层（隔离层）阻止信息资源非法访问强制连接必须保护层提供封闭逻辑环境保护部网络免遭非法入侵防火墙提供服务：保护易受攻击服务：控制特殊站点访问集中化安全理网络存取访问进行审计目前防火墙技术数包滤代理服务等技术单独结合起
（1）包滤技术
基路器技术包滤型防火墙位网络层根系统部设置访问控制表通网络层IP数包进行选择滤通数包包头信息中源IP址目IP址源端口号目端口号检查确定该数包否合法决定否允许通包滤限制部分浏览器数库访问黑客利Spoofing技术绕国资源路器创建带虚假IP址包进入Web站点数库进行侵犯时缺乏审计踪验证功
（2）代理技术
代理服务技术基网络应层作应层核心运行防火墙机代理服务器进程代网络户完成特定TCPIP功代理服务器实际特定网络应连接两网络网关种应服务必须相应代理外部网络部网络间建立连接必须通代理中间转换部网络接受代理服务提出服务请求拒绝外部网络直接连接代理技术优点完全控制通信双方会话程具户级身份验证日志理帐号理功提供滤路器更严格安全性：缺点缺乏透明性影响网络必须针项服务建立应应层网关提供全面安全保证势必严重限制新应引入挂接
结合述两种防火墙技术优缺点实际构建防火墙系统时通常滤器提供第级安全防护防止IP欺骗攻击代理服务器提供更高级安全防护机制防火墙技术然提供安全保证满足数库应系统安全问题实际求完整数库安全机制应户赋予访问权限建立视图应防火墙技术数库安全机制结合起
422身份认证授权控制
基Web数库应系统中包含量敏感数机密数保证系统数存储时网络传输时未授权户访问解读利户名标明户身份系统鉴户合法性利口令进步核实户身份保证口令安全口令提交程中采明文形式具体方法：先口令户名进行加密传送服务器接受进行解密者利安全套接字协议（SSL）加密方法通公密钥称性加密提供非公开通信身份验证信息继承样简化复杂性保证安全性客户服务器种防窃听防干扰防消息伪造方式通信
Web应程序级利身份认证机制保护限制ASP容求试图访问限制ASP容户必须拥效Windows NT帐号户名密码户试图防问限制容时Web服务器进行身份验证检查户否拥效Windows NT帐号
台数库中身份验证机制进步确认户合法性建立User户表信息包括登录名口令户名访问权限代码访问权限代表户数库进行读取插入修改操作权限组合户IP址滤WebBrowser端呈现户登录界面户系统提示输入登录名口令提交输入结果WebServer接受浏览器请求激活ASP通ADO驱动ODBCUser数库建立连接运行ASP处理程序户输入数库记录进行较合法户允许根权限访问数库否拒绝访问请求引导户注册
基Web数库应程序运行Internet环境中户完全机会程序员控制通简单操作绕登录页面躲避户名口令验证数库安全构成直接威胁防止非法户进入保护基
Web数库安全性利Session象HTTP headers信息实现安全控制
ASP提供Session置象户请求激活Session象Session变量整户工作期保持变利Session变量保持特定户信息户通户名口令验证Session象Session ID属性作Session变量存储起然次户试图导航种求效连接页面时较前Session ID存储Session象中ID匹配采适行动拒绝访问种方法作身份认证十分效进步完善ASP安全机制
浏览器Web Server发出请求时包含相数量HTTP标题头域信息REMOTE_ADDR标明提出请求机Internet址HTTP_REFERER表示户达前页链接应程序创建IIS理统目录保存路径信息应程序均<#Include virtualmyfileasa>方式先执行Myfileasa通判断HTTP_REFERER信息确定户合法性户直接输入URL通方式绕户名口令验证拒绝访问请求
Web应程序基础Web页面整系统功体现页面页面相互调完成整系统功页面记忆性独立性页面访问实际通URL实现果程序页面进行合法性检验证包含文件运行服务器端访问数库表查非法户知道户名口令知道某URL跳身份验证页面直接访问面数处理相关页面入侵系统核心数库中针述问题Web服务器建立Web户访问页面权限表访问数库页面具体数库表户名口令相应通该页面访问某数库表数库表实施某种操作系统求该数库表应户名口令必须输入户名口令致允许继续进行设想跳权限验证页面直接访问面数处理相关页面系统权限验证页面户名口令系统拒绝数库表操作需强调权限验证页面次重新显现必须求重新输入户名口令说次该页面重新出现页面回退该页面户名口令输入框必须动清空二访问数库表页面旦操作完该页面权限验证值动作废样保证操作数唯通道合法户数安全保护
网站数库进行保护防止访问者没访问权限网页需权限验证系统然配置IIS基验证模式Windows NT ChallengeResponse验证模式两种中种验证系统通改变文件权限强制户访问网页前输入密码基验证模式Windows NT ChallengeResponse验证模式存问题两种验证系统Windows NT安全体系相分离意味着新户注册时需手工添加户容易网页中访问修改密码户名
果想通密码保护理员特殊网页IIS提供两种验证系统行假想户提供权限级信息动新户进行注册需Web应系统中建立验证系统
建立权限验证系统需两数库表文件：权限信息表：保存权限信息
验证包含文件：需权限保护网页包含文件
权限信息表包含三字段第字段保存户名第二字段保存户密码第三字段保存应权限级
级信息表包含两字段第字段保存权限级第二字段保存该级应页面标识
两表信息数库理员进行理
时访问者试图访问权限保护网页时两表进行查询果表中查权限验证页面输入户名口令访问保护页面
验证包含文件运行服务器端访问数库表Web文件包含想进行权限保护网页页面中提供户输入名字密码功然权限表中查询输入名字密码果找户访问该页面果找根应级级信息表中查该级否该页面标识果没户访问该页面
般情况量普通查询户系统应提供动注册功具查询浏览权限动注册户拥种低级权限权限级应动注册户注册系统会动户名口令写入权限信息表时添入普通户级码
423 监视踪审计
日志系统具综合性数记录功动分类检索力完整日志仅包括户项操作包括网络中数接受正确性效性合法性检查结果日网络安全分析提供许应程序日志记录时候监督实日志分析预防入侵提高网络安全数库应胸中日志记录户登录开始起直退出系统止段时间中执行操作包括登录失败操作数库操作系统功等必须建立完善日志记录功外利现网络监视软件进行日志记录信息踪例日志监视踪进行潜黑客攻击检查单帐号户检查非工作时间操作检查等
解决户躲避户名口令验证采页面户基信息踪监视采ASP技术中QueryStringFormHidden类型保存户基信息应程序执行前先踪监视户信息否存户直接URL址访问数库会RequeryStringQueryStringRequestForm值空拒绝方法更进步提高系统安全性
审计确保查性审计作项安全技术信息系统安全着重作通设置完善审计机制时提供系统运行程中种疑现象关信息供关员时发现隐患审计功记录体访问客体轨迹记录容包括：站点情况服务器工作情况链接状态页面情况户情况访问时间户操作类型否成功等提高审计功必时需设置审计安全时间发生积累机制超定阈值时立刻发出报警提示应采取措施采审计功知道户正系统权限频率正登录户数会话均持续时间特殊表命令关事实
424 存储程
基Web数库应系统中建立存储程时通嵌SQL命令执行存储程中采户数分开方法种方法允许表完全访问更新提供实现表交互存储程户参数提供插入存储程插入存储程执行插入操作户提供检索条件检索存储程返回找数行办法处完全控制信息存储检索想户访问列忽略插入前需做附加处理做数存储检索说带更面象风格方法助保证数正确安全
425 备份障恢复
采取安全措施难保数库万失安全相安全绝数库攻破快恢复系统找出入侵者必须做系统数备份
备份障恢复实现信息系统安全运行重技术确保信息系统种测时间受破坏时快投入重保证信息系统受破坏程度需采取恢复措施备份求付灾难性破坏设置机系统远系统备份备机系统正常运行时启系统受非灾难性破坏时机系统通专备份设备进行全系统备份部分系统备份增量信息备份确保系统停机尝新启动正常运行会造成信息丢失
前计算机软硬件系统性改善采磁盘阵列等设备提高系统容错力更进步提高系统性然措施完美法保证系统安全做万失定程度减少存储介质障带损失操作员意外操作蓄意破坏性操作破坏性病毒攻击然灾害等原引起系统障措施力定期进行数备份保证系统安全项重措施意外情况发生时备份数恢复数库
目前快然昂贵保护准备备份服务器时代服务器备份服务器必须支持Microsoft SQL Server运行完整备份数库系统户帐户事务处理日志数库转储服务器创建必须迅速装载备份服务器果服务器需中止工作段时间需投入备份服务器代服务器
备份服务器接事务处理日志象什事情没发生服务器镜备份称双机热备份基成原考虑尤双机热备份(专门服务器配置样计算机备份服务器)采者较少采异机备份策略济备份方式特服务器崩溃Microsoft SQL Server系统崩溃时时双机热备份启备份服务器直接外通种备份策略(包括异机备份策略)必须重装服务器操作系统(Microsoft Windows NT)重装Microsoft SQL Server采异机备份策略必担心时需装Microsoft SQL Server异机传送数恢复
具体做法局域网台工作站计算机安装Microsoft Windows NTMicrosoft SQL Server该机建立服务器中数库名数库利Microsoft SQL Server系统身提供异机传送工具(Microsoft SQL Enterprise Manager中Tools菜单DatabaseObject Transfer)通设置定时(月周日时)计算机动服务器中数库数传送该工作站机数库中样旦服务器(操作系统)崩溃Microsoft SQL Server系统崩溃时重装服务器操作系统(Microsoft Windows NT)重装Microsoft SQL Server然采异机传送工具通该工作站数传回服务器Microsoft SQL Server数库中确保数安全恢复
43 案例分析
知道SQL种结构化查询语言功相强基Web脚语言+台书系统动态网站通SQL语言查询数库更新数库浏览网页时通常提交信息户登录名密码信息条目ID等服务器应程序会浏览器提交数进行处理然返回相应信息浏览器里举验证登录例子说明SQL注入原理
假设某网站数库中login表存放户登录信息包含usernamepassword等字段网站应程序根户提交数生成SQL查询语句果查询返回记录>1户通验证反登录失败设户提交户名：abc密码：123生成SQL语句：select *form login where usernameabc’ and password
123’
果login表中存usernameabc密码123户登录成功正常情况果户提交户名：abc’or’密码：123’or’时样呢？时生成SQL语句：select *from login where usernameabc’or’’and password123’or’’
时login表中否存usernameabc密码123户login表中记录登录成功’’（空字符空字符）恒成立发现数库服务器提交户名仅仅作户名处理分成两段取abc’成户名构成逻辑关系式usernameabc’余部分or’’组成逻辑关系式：usernameabc’or’’显然关系式恒真样提交密码处理说述SQL语句where子句分析：where[（usernameabc’）or（’’）]and[（password123’）or（’’）]记录逻辑关系值皆真必然登录成功
户通提交特殊户名密码绕登录验证原程序户提交信息没合法性检查直接构造SQL语句
通面叙述已解SQL注入攻击危害相严重防范SQL注入首先然户提交数进行严格滤数值型参数滤较简单般isNumeric（）函数判断否包含非数字字符字符型参数需单引号双引号—号分号等等进行滤户提交参数长度进行判断属非法者程序出错误提示
防范SQL注入行办法摒弃动态SQL语句改户存储程访问操作数库需建立数库仔细考虑Web程序需数库进行种操作建立存储程然Web程序调存储程完成数库操作样户提交数生成动态SQL语句确确实实作参数传递存储程效阻断SQL注入途径
第五章 结束语
Web安全已成网络安全重领域层出穷攻击手段原脆弱Web数库更加容易瘫痪文总结前验加见解Web数库访问技术着手讲述CGIAPIASPJAVA等技术安全隐患防范措施然分介绍防火墙身份认证授权控制监视踪审计存储程备份等常安全技术
Web数库安全威胁涉方面全局性问题新攻击手段方法断涌现构筑起面面俱安全体系困难访问控制机制数加密防火墙技术解决问题方面实际系统中应单独某项技术应该综合考虑种技术构成机结合体
参考文献：
[1] 许龙飞基Web数库技术应现代计算机2000（2）：1415
[2] 王国荣朱琳杰王伟Active Server Pages&数库北京：民邮电出版社1999：139269
[3] 道焰朱世挺等CGI技术安全性研究 [J]计算机系统应1997 (12)
[4] 周世雄编IIS40超级网站速成青岛：青岛出版社1999：33299
[5] 蔡丹媚利ASP轻松实现Web动态交互访问计算机应研究1999 （2）：6263
[6] Arman DaneshWes Tatters著陈卓张知等译Java Script 11开发指南清华学出版社1998
[7] 宵金秀冯沃辉卢国旺中文Dreamweaver3网页设计制作北京：中国民航出版社20005：117130
[8]Palo AltoOverview of Control NetworkCA 94304
[9]张国祥基ApacheWeb安全技术应研究[J]武汉理工学学报2004(3)
[10]Java 2 Platform [M]Enterprise Edition By Anne Thomas
[11]刑春晓潘泉张洪通Web数库系统体系结构研究[J]计算机工程应19999：35(9)：9093
[12] [美] Curt JangJeff Chow 著周志英等译Web网INTRANET信息出版技术电子工业出版社1997
[13]Gunnit SKhunrana等Web数库建立理机械工业出版社1997
[14]罗明宇等计算机网络安全技术[J]计算机科学2000(10)：5558
[15]王英凯证券交易系统中数库安全性[J]兰州学学报35：531533
[16]张少敏王保义基WebMIS中数库安全性策略[J]华北电力技术2002P4590
[17]罗昌隆李玲娟基Web数库访问技术[J]南京邮电学院学报20017P3032
[18]吕峰刘晓东等基Web网络数库安全系统研究[J]武汉工业学院学报20036P5154
[19]程万军 张霞 刘积仁基扩展客体层次结构安全数库策略模型[J]软件学报20029P4042
[20]李建中日新月异数库研究领域——数库技术回顾展[J]黑龙江学然科学学报200219(2)：4352
鸣 谢
文导师范鸣老师精心指导完成文研究程中导师渊博学识严谨治学态度受益匪浅导师学生活思想予指导关怀终生难忘首先范老师致深深谢意衷感谢导师关心帮助
文进行程中余建军老师热心帮助余老师提供思路验深入理解课题关知识方法起重作余老师表示深深感谢
时学校次毕业设计机会锻炼学校位老师表示诚挚感谢
文研究程中予帮助老师学朋友表示衷感谢
文档香网(httpswwwxiangdangnet)户传
《香当网》用户分享的内容，不代表《香当网》观点或立场，请自行判断内容的真实性和可靠性！
该内容是文档的文本内容，更好的格式请下载文档
