淺析數(shù)據(jù)庫(kù)的安全與優(yōu)化

任莉

（南京工程高等職業(yè)學(xué)校，江蘇 南京 211135）

淺析數(shù)據(jù)庫(kù)的安全與優(yōu)化

任莉

（南京工程高等職業(yè)學(xué)校，江蘇 南京 211135）

數(shù)據(jù)庫(kù)系統(tǒng)的高性能設(shè)計(jì)且系統(tǒng)管理先進(jìn)，并支持Windows圖形化管理工具以及本地和遠(yuǎn)程的系統(tǒng)管理和配置。它強(qiáng)壯的事務(wù)處理功能，采用各種方法保證數(shù)據(jù)的完整性，與Internet的緊密集成和開放的系統(tǒng)結(jié)構(gòu)，為廣大的用戶、開發(fā)人員和系統(tǒng)集成商提供了一個(gè)出眾的數(shù)據(jù)庫(kù)平臺(tái)，因此數(shù)據(jù)庫(kù)的安全與優(yōu)化變得非常重要。

數(shù)據(jù)庫(kù) ；安全；存儲(chǔ)

一、數(shù)據(jù)庫(kù)技術(shù)簡(jiǎn)介

隨著計(jì)算機(jī)技術(shù)與網(wǎng)絡(luò)通信技術(shù)的發(fā)展，數(shù)據(jù)庫(kù)技術(shù)已成為信息社會(huì)中對(duì)大量數(shù)據(jù)進(jìn)行組織與管理的重要技術(shù)手段及軟件技術(shù)，是網(wǎng)絡(luò)信息化管理系統(tǒng)的基礎(chǔ)。數(shù)據(jù)庫(kù)技術(shù)研究解決了計(jì)算機(jī)信息處理過(guò)程中大量數(shù)據(jù)有效地組織和存儲(chǔ)的問(wèn)題，在數(shù)據(jù)庫(kù)系統(tǒng)中減少數(shù)據(jù)存儲(chǔ)冗余、實(shí)現(xiàn)數(shù)據(jù)共享、保障數(shù)據(jù)安全以及高效地檢索數(shù)據(jù)和處理數(shù)據(jù)。

二、數(shù)據(jù)庫(kù)安全設(shè)計(jì)

維護(hù)數(shù)據(jù)庫(kù)系統(tǒng)的安全是一個(gè)長(zhǎng)期的工作，是數(shù)據(jù)庫(kù)設(shè)計(jì)工作的延續(xù)和提高。通常數(shù)據(jù)庫(kù)安全的工作包括以下幾個(gè)方面：

（1）數(shù)據(jù)庫(kù)的安全性。在數(shù)據(jù)庫(kù)運(yùn)行階段，就應(yīng)該保證數(shù)據(jù)的安全，使數(shù)據(jù)庫(kù)不受有意或無(wú)意的侵犯。

（2）數(shù)據(jù)庫(kù)性能的監(jiān)督、分析和改造。數(shù)據(jù)庫(kù)管理員必須利用系統(tǒng)提供的性能監(jiān)控和分析工具，經(jīng)常對(duì)數(shù)據(jù)庫(kù)的運(yùn)行、存儲(chǔ)空間及響應(yīng)時(shí)間進(jìn)行分析。

（3）數(shù)據(jù)庫(kù)的轉(zhuǎn)儲(chǔ)和恢復(fù)。數(shù)據(jù)庫(kù)管理員要定期地把整個(gè)數(shù)據(jù)庫(kù)復(fù)制到磁盤或其他磁盤上保護(hù)起來(lái)。要指定不同的備份方案，保證一旦發(fā)生事故，能很快地將數(shù)據(jù)庫(kù)恢復(fù)到某種一致性的狀態(tài)，盡量減少損失。

（4）數(shù)據(jù)庫(kù)的重組織與重構(gòu)造。對(duì)數(shù)據(jù)庫(kù)進(jìn)行重組可以調(diào)整系統(tǒng)在運(yùn)行過(guò)程中由于不斷進(jìn)行插入、刪除和修改操作而造成數(shù)據(jù)庫(kù)的物理存儲(chǔ)情況變差，數(shù)據(jù)的存儲(chǔ)效率降低、數(shù)據(jù)庫(kù)的性能下降的現(xiàn)象，使得系統(tǒng)的性能提高。

三、數(shù)據(jù)庫(kù)性能優(yōu)化

數(shù)據(jù)訪問(wèn)是Web應(yīng)用程序最常需要用到的功能，對(duì)數(shù)據(jù)庫(kù)性能優(yōu)化，可提高整個(gè)系統(tǒng)的性能。

1.數(shù)據(jù)庫(kù)鏈接

操作數(shù)據(jù)庫(kù)最經(jīng)常應(yīng)用的操作就是創(chuàng)建數(shù)據(jù)庫(kù)鏈接，打開鏈接，最后在操作結(jié)束后關(guān)閉鏈接。這一系列操作過(guò)程是非常耗資源的，需要多次與數(shù)據(jù)庫(kù)交換信息以通過(guò)身份驗(yàn)證。因此這些操作會(huì)嚴(yán)重影響應(yīng)用程序的性能。ASP.NET可以應(yīng)用鏈接池來(lái)對(duì)數(shù)據(jù)庫(kù)鏈接進(jìn)行操作，減少打開、關(guān)閉數(shù)據(jù)庫(kù)操作對(duì)性能的影響。當(dāng)開發(fā)者創(chuàng)建數(shù)據(jù)庫(kù)鏈接時(shí)，系統(tǒng)將為其創(chuàng)建鏈接池，從鏈接池中返回開發(fā)者要求的數(shù)據(jù)庫(kù)鏈接。當(dāng)開發(fā)者將這個(gè)鏈接關(guān)閉時(shí)，系統(tǒng)收回鏈接，將其放回鏈接池，等下一次對(duì)該鏈接的請(qǐng)求。但是鏈接池的大小是有限制的，如果超過(guò)鏈接池的最大限度后繼續(xù)要求創(chuàng)建鏈接，將會(huì)影響性能。因此，要盡量推遲打開數(shù)據(jù)庫(kù)鏈接，在數(shù)據(jù)操作完成后及時(shí)關(guān)閉數(shù)據(jù)庫(kù)鏈接，從而減少數(shù)據(jù)庫(kù)鏈接打開的時(shí)間，避免超出鏈接限制的情況出現(xiàn)。

2.數(shù)據(jù)庫(kù)查詢

在數(shù)據(jù)操作中，數(shù)據(jù)查詢操作是非常普通的操作。提高數(shù)據(jù)查詢操作的性能將對(duì)提高應(yīng)用程序性能有很大的幫助。ASP.NET提供了多種方式來(lái)使用SQL語(yǔ)言對(duì)數(shù)據(jù)庫(kù)進(jìn)行操作，下面對(duì)這些方法進(jìn)行簡(jiǎn)單的介紹。

直接生成SQL語(yǔ)句字符串。應(yīng)用SqlCommand對(duì)象的CommandText屬性，直接生成SQL語(yǔ)句字符串進(jìn)行操作，下面的代碼演示了該方式的數(shù)據(jù)庫(kù)操作：

SqlCommand comm=new SqlCommand（SqlName，MyConnection）；

Stringsql=“Select*Fromstu”;

sql=sql+“where(stuID=”“+txtstu.Text+”“)”;

comm.CommandText=sql;

對(duì)于這種查詢命令，SQLServer在應(yīng)用時(shí)需要每次對(duì)其進(jìn)行編譯，因此性能較差而且還會(huì)帶來(lái)其他一些安全應(yīng)用問(wèn)題。

使用帶有參數(shù)的SQL命令。這種應(yīng)用的實(shí)現(xiàn)效果相同。下面為其應(yīng)用程序。

SqlCommandComm=new SqlCommand(SqlName,My-Connection);

StringSql=“Select*FromstuWherestuID=@stuID”;

SqkParameterParaID=newSqlParameter(“@stu”,SqlDbType.Int,4);

ParaID=n,Value=3;

Comm.Parameters.Add(ParaID);

Comm.CommandText=Sql;

使用第二種方式對(duì)數(shù)據(jù)庫(kù)進(jìn)行查詢，SQLServer只對(duì)命令編譯一次，對(duì)于不同的參數(shù)重復(fù)使用，節(jié)省了服務(wù)器的應(yīng)用效能，提供了數(shù)據(jù)庫(kù)服務(wù)器的性能。

3.使用儲(chǔ)存過(guò)程

存儲(chǔ)過(guò)程是一系列被查詢處理器預(yù)解析和優(yōu)化的SQL命令，這些命令會(huì)被存儲(chǔ)起來(lái)，以便需要時(shí)得到快速的執(zhí)行。存儲(chǔ)過(guò)程在應(yīng)用時(shí)具有一次編譯多次應(yīng)用的效果，而且存儲(chǔ)過(guò)程獨(dú)立于程序，編譯修改和維護(hù)。并且存儲(chǔ)過(guò)程還可以減少網(wǎng)絡(luò)中的數(shù)據(jù)傳輸，進(jìn)一步提高網(wǎng)絡(luò)應(yīng)用性能。多條SQL語(yǔ)句的查詢操作只需要由一個(gè)存儲(chǔ)過(guò)程就能夠?qū)崿F(xiàn)，可以避免多次向數(shù)據(jù)庫(kù)服務(wù)器傳送數(shù)據(jù)。

四、防注入攻擊技術(shù)

SQL注入是從正常的WWW端口訪問(wèn)，而且表面看起來(lái)跟一般的Web頁(yè)面訪問(wèn)沒(méi)什么區(qū)別，在代碼使用存儲(chǔ)過(guò)程中，而這些存儲(chǔ)過(guò)程作為包含未篩選的用戶輸入的字符串來(lái)傳遞時(shí)，會(huì)發(fā)生SQL注入。SQL注入可能導(dǎo)致攻擊者使用應(yīng)用程序登錄在數(shù)據(jù)庫(kù)中執(zhí)行命令。如果應(yīng)用程序使用特權(quán)過(guò)高的用戶鏈接到數(shù)據(jù)庫(kù)，這種問(wèn)題會(huì)變得很嚴(yán)重。在某些表單中，用戶輸入的內(nèi)容直接用來(lái)構(gòu)造動(dòng)態(tài)SQL命令，或者作為存儲(chǔ)過(guò)程的輸入?yún)?shù)，這些表單特別容易受到SQL注入的攻擊。

SQLServer是一個(gè)功能強(qiáng)大的數(shù)據(jù)庫(kù)系統(tǒng)，與操作系統(tǒng)也有緊密的聯(lián)系，這給開發(fā)者帶來(lái)了很大的方便，但另一方面，也為注入者提供了一個(gè)跳板，我們先來(lái)看看幾個(gè)具體的例子：

（1）http://localhost:2514/Web/Admin/InStoreStat.aspx?billType=30;exec

master..xp_cmdshell“net user name password/add”______

分號(hào);在SQL Server中表示隔開前后兩句語(yǔ)句，——表示后面的語(yǔ)句為注釋，所以，這句語(yǔ)句在SQL Server中將被分成兩句執(zhí)行，先是Select出ID=1的記錄，然后執(zhí)行存儲(chǔ)過(guò)程xp_cmdshell，這個(gè)存儲(chǔ)過(guò)程用于調(diào)用系統(tǒng)命令，于是，用net命令新建了用戶名為name、密碼為password的windows的賬號(hào)，接著：

（1）http://localhost:2514/Web/Admin/InStoreStat.aspx?billType=30;exec

master…xp_cmdshell“net localgroup name administrators/add”——

將新建的賬號(hào)name加入管理員組，現(xiàn)在你已經(jīng)拿到了系統(tǒng)最高權(quán)限，當(dāng)然，這種方法只適用于用sa鏈接數(shù)據(jù)庫(kù)的情況，否則是沒(méi)有權(quán)限調(diào)用xp-cmdshell的。

（3）http://localhost:2514/Web/Admin/InStoreStat.aspx?billType=30;

and db-name()>0 and user>0，作用是獲取鏈接用戶名，db-name()是另一個(gè)系統(tǒng)變量，返回的是連接的數(shù)據(jù)庫(kù)名。

（4）http://localhost:2514/Web/Admin/InStoreStat.aspx?billType=30;backup

database數(shù)據(jù)庫(kù)名 to disk=’c:inetpubwwwroot1.db’;——

在（3）中可以得到數(shù)據(jù)庫(kù)名，加上某些IIS出錯(cuò)暴露出的絕對(duì)路徑，將數(shù)據(jù)庫(kù)備份到Web目錄下面，再用HTTP把整個(gè)數(shù)據(jù)庫(kù)就完完整整地下載回來(lái)，所有的管理員及用戶密碼都一覽無(wú)佘。

從以上幾點(diǎn)可以看出，SQL注入攻擊對(duì)我們系統(tǒng)的危害有多大。許多網(wǎng)站程序在編寫時(shí)，沒(méi)有對(duì)用戶輸入的合法性進(jìn)行判斷或者程序中本身的變量處理不當(dāng)，使應(yīng)用程序存在安全隱患。這樣，用戶就可以提交一段數(shù)據(jù)庫(kù)查詢的代碼，根據(jù)程序返回的結(jié)果，獲得一些敏感的信息或者控制整個(gè)服務(wù)器，于是SQL注入就發(fā)生了。因此數(shù)據(jù)庫(kù)管理員應(yīng)養(yǎng)成查看IIS日志的習(xí)慣，對(duì)程序過(guò)濾嚴(yán)格審查，認(rèn)真檢查參數(shù)，防止SQL注入攻擊的發(fā)生。

［1］戚建妙.SQL注入攻擊與數(shù)據(jù)庫(kù)安全［J］.有線電視技術(shù)，2004，(23).

TN

A

1673-0046（2010）11-0173-02