当前位置: 首页 > 图文教程 > 数据库 > MSSQL > SQL Server安全之加密术和SQL注入攻击

MSSQL
深入介绍：SQL Server变更管理工具
SQL Server日志文件总结及充满处理方式
sql查询like操作数剖析
Windows 2003不太喜欢SQL Server2000
教您 SQL SERVER 2005 同步复制技术
深入浅出SQL教程之子查询语句
简单谈基于SQL SERVER 分页存储过程的演进
深入浅出SQL教程之SELECT语句中的表连接
安装SQL Server 2000的错误及解决
为增强安全性 SQL Server加密备份
在SQL Server中为安全依从性记录日志
深入浅出SQL系列教程之基本SELECT命令
SQL Sever中有关DATALENGTH的用法
SQL Server数据库性能优化技术
SQL Server基本函数详细介绍
SQL Server中数据仓库的构建与分析
sql2005的xml字段类型在.net中的应用
SQL注入奇致胜 Union查询轻松看电影
SQL Server 2005与DB2 8.2对比分析
SQL Server 连接中四种最常见错误

No. « 101 102 103 104 »

技术文章搜索

关键字

MSSQL 中的 SQL Server安全之加密术和SQL注入攻击

出处:互联网   整理: 软晨网（RuanChen.com）   发布: 2009-10-30   浏览: 60 ::
收藏到网摘: n/a

SQL Server上内置了加密术用来保护各种类型的敏感数据。在很多时候，这个加密术对于你来说是完全透明的;当数据被存储时候被加密，它们被使用的时候就会自动加密。在其他的情况下，你可以选择数据是否要被加密。SQL Server可以加密下列这些组件:

·密码

·存储过程，视图，触发器，用户自定义函数，默认值，和规则。

·在服务器和用户之间传输的数据

密码加密术

SQL Server自动将你分配给登陆和应用角色的密码加密。尽管当你可以从主数据库中直接察看系统表格而不需要密码。你不能给对这种情况作出任何修改，事实上，你根本不能破坏它。

定义加密术

在有些时候，如果对对象进行加密是防止将一些信息分享给他人。例如，一个存储进程可能包含所有者的商业信息，但是这个信息不能和让其他的人看到，即使他们公开的系统表格并可以看到对象的定义。这就是为什么SQL Server允许你在创建一个对象的时候进行加密。为了加密一个存储进程，使用下面形式的CREAT PROCEDURE 语句: 

CREATE PROCEDURE procedurename [;number][@parameter datatype[VARYING][ = defaultvalue][OUTPUT]][, …][WITH RECOMPILE | ENCRYPTION | RECOMPILE, ENCRYPTION]

我们关心的仅仅是可选的WITH参数。你可以详细说明ARECOMPILE或者ENCRYPTION，或者你可以同时说明它们。ENCRYPTION关键字保护SQL Server它不被公开在进程中。结果，如果ENCRYPTION在激活的时候系统存储进程sp_helptext就会被忽视,这个存储进程将被存储在用户创建进程的文本中。如果你不想要加密，你可以使用ALTER PROCEDURE，忽略WITH ENCRYPTION子句来重新创建一个进程。

为了能够使用加密术。用户和服务器都应该使用TCP/IP NetworkLibraries用来连接。运行适当的Network Utility和检查Force protocol encryption，看下表，用户和服务器之间的连接将不会被加密。

加密也不能完全自由。当连接确定后，要继续其他的构造，并且用户和服务器必须运行代码来解释加密和解释的包裹。这里将需要一些开销并且当在编译码的时候会使进程慢下来。如果网络包裹在你控制范围之外，使用这种做法是非常好的。

加密术中缺少什么?

你可以注意到在这个列表中缺少一些被加密的东西:你表格中的数据。在你存储数据之前，SQL Server不会提供任何内置的工具来加密你的数据。如果你需要保护存储在SQL Server上的数据，我们给你两条建议:第一，你可以利用GRANT 和DENY关键字来控制你想哪个用户可以在SQL Server中读取的数据。

第二.如果你真的想对数据加密，不要设法加密码。你可以利用被测试过的商业产品的算法。

SQL 注入攻击

SQL 注入攻击是一个常规性的攻击，它可以允许一些不法用户检索你的数据，改变服务器的设置，或者在你不小心的时候黑掉你的服务器。SQL 注入攻击不是SQL Server问题，而是不适当的程序。如果你想要运行这些程序的话，你必须明白这冒着一定的风险。

测点定位弱点

SQL 注入的脆弱点发生在程序开发员构造一个WHERE 子句伴随着用户的输入的时候。比如，一个简单的ASP程序允许用户输入一个顾客的ID然后检索公司的全部人员的名字，如果顾客ID如果作为ASP页面的请求串的一部分返回，那么开发员可以编写下面的代码获得数据: 

strConn = "Provider=SQLOLEDB;Data Source=(local);" & _"Database=Northwind;Integrated Security=SSPI"Set cnn = Server.CreateObject("ADODB.Connection")cnn.Open strConnstrQuery = "SELECT ContactName FROM Customers " & _“WHERE CustomerID = '" & Request.Form("CustI