【  賽迪網(wǎng)-IT技術(shù)報(bào)道】數(shù)據(jù)庫(kù)，網(wǎng)站運(yùn)營(yíng)的基礎(chǔ)，網(wǎng)站生存的要素，不管是個(gè)人用戶還是企業(yè)用戶都非常依賴網(wǎng)站數(shù)據(jù)庫(kù)的支持，然而很多別有用心的攻擊者也同樣非�！翱粗亍本W(wǎng)站數(shù)據(jù)庫(kù)，

三大措施設(shè)置數(shù)據(jù)庫(kù)安全 保障網(wǎng)站安全運(yùn)營(yíng)

    對(duì)于個(gè)人網(wǎng)站來(lái)說(shuō)，受到建站條件的制約，Access數(shù)據(jù)庫(kù)成了廣大個(gè)人網(wǎng)站站長(zhǎng)的首選。然而，Access數(shù)據(jù)庫(kù)本身存在很多安全隱患，攻擊者一旦找到數(shù)據(jù)庫(kù)文件的存儲(chǔ)路徑和文件名，后綴名為“.mdb”的Access數(shù)據(jù)庫(kù)文件就會(huì)被下載，網(wǎng)站中的許多重要信息會(huì)被一覽無(wú)余，非�？膳隆．�(dāng)然，大家采用了各種措施來(lái)加強(qiáng)Access數(shù)據(jù)庫(kù)文件的安全，但真的有效嗎?

    存在漏洞的保護(hù)措施

    流傳最為廣泛的一種Access數(shù)據(jù)庫(kù)文件保護(hù)措施，是將Access數(shù)據(jù)庫(kù)文件的后綴名由“.mdb”改為“.asp”，接著再修改數(shù)據(jù)庫(kù)連接文件(如conn.asp)中的數(shù)據(jù)庫(kù)地址內(nèi)容，這樣一來(lái)即使別人知道數(shù)據(jù)庫(kù)文件的文件名和存儲(chǔ)位置，也無(wú)法進(jìn)行下載。

    這是網(wǎng)上最流行的一種增強(qiáng)Access數(shù)據(jù)庫(kù)安全的方法，而且還有強(qiáng)大的“理論基礎(chǔ)”。

    因?yàn)椤?mdb”文件不會(huì)被IIS服務(wù)器處理，而是直接將內(nèi)容輸出到Web瀏覽器，而“.asp”文件則要經(jīng)過(guò)IIS服務(wù)器處理，Web瀏覽器顯示的是處  理結(jié)果，并不是ASP文件的內(nèi)容。

    但大家忽略了一個(gè)很重要的問(wèn)題，這就是IIS服務(wù)器到底處理了ASP文檔中的哪些內(nèi)容。這里筆者提醒大家，只有ASP文件中“”標(biāo)志符間的內(nèi)容才會(huì)被IIS服務(wù)器處理，而其他內(nèi)容則直接輸出到用戶的Web瀏覽器。你的數(shù)據(jù)庫(kù)文件中包含這些特殊標(biāo)志符嗎?即使有，Access也可能會(huì)對(duì)文檔中的“”標(biāo)志符進(jìn)行特殊處理，使之無(wú)效。因此后綴為“.asp”的數(shù)據(jù)庫(kù)文件同樣是不安全的，還是會(huì)被惡意下載。

    面對(duì)蠱惑人心的理論，以及眾人的附和，筆者也開(kāi)始相信此方法的有效性，

電腦資料

     筆者首先將一個(gè)名為“cpcw.mdb”的數(shù)據(jù)庫(kù)文件改名為“cpcw.asp”，然后上傳到網(wǎng)站服務(wù)器中。運(yùn)行flashGet，進(jìn)入“添加新的下載任務(wù)”對(duì)話框，在“網(wǎng)址”欄中輸入“cpcw.asp”文件的存儲(chǔ)路徑，然后在“重命名”欄中輸入“cpcw.mdb”。進(jìn)行下載后，筆者發(fā)現(xiàn)可以很順利地打開(kāi)“cpcw.mdb”，而且它所存儲(chǔ)的信息也被一覽無(wú)余。這就充分說(shuō)明了單純地將數(shù)據(jù)庫(kù)文件名的后綴“.mdb”改為“.asp”，還是存在安全隱患。

    沒(méi)有最“安全”，只有更“安全”

    任何事情都不是絕對(duì)的，因此增強(qiáng)Access數(shù)據(jù)庫(kù)文件的安全也只是相對(duì)的。畢竟Access只能用于小型數(shù)據(jù)庫(kù)的解決方案，它存在很多先天不足，特別是在安全方面。

    我們所采用的各種方法，也只是相對(duì)來(lái)說(shuō)增強(qiáng)了Access數(shù)據(jù)庫(kù)文件的安全，并不能實(shí)現(xiàn)絕對(duì)的安全，畢竟先天不足的問(wèn)題是無(wú)法解決的。下面筆者為大家介紹一些方法，雖然不能完全防止別人下載Access數(shù)據(jù)庫(kù)文件，但只要你善用它們，Access數(shù)據(jù)庫(kù)文件就會(huì)更安全。

    方法一:數(shù)據(jù)庫(kù)文件名應(yīng)復(fù)雜

    要下載Access數(shù)據(jù)庫(kù)文件，首先必須知道該數(shù)據(jù)庫(kù)文件的存儲(chǔ)路徑和文件名。如果你將原本非常簡(jiǎn)單的數(shù)據(jù)庫(kù)文件名修改得更加復(fù)雜，這樣那些“不懷好意”者就要花費(fèi)更多的時(shí)間去猜測(cè)數(shù)據(jù)庫(kù)文件名，無(wú)形中增強(qiáng)了Access數(shù)據(jù)庫(kù)的安全性。

    很多ASP程序?yàn)榉奖阌脩羰褂茫�它的�?shù)據(jù)庫(kù)文件通常都被命名為“data.mdb”，這大大方便了有經(jīng)驗(yàn)的攻擊者。如果我們將數(shù)據(jù)庫(kù)文件名修改得復(fù)雜一些，他人就不易猜到，如將“data.mdb”修改為“1rtj0ma27xi.mdb”,然后修改數(shù)據(jù)庫(kù)連接文件中的相應(yīng)信息。這樣Access數(shù)據(jù)庫(kù)就相對(duì)安全一些。此方法適合于那些租用Web空間的用戶使用。

    不足之處:一旦查看到數(shù)據(jù)庫(kù)連接文件(如conn.asp)中的內(nèi)容，再?gòu)?fù)雜的文件名也無(wú)濟(jì)于事。