谈SQL Server的缺陷和安全策略
浅析SQL Server数据库的数据安全
忽略的是 ．在 Ｓ ＬＳｒ ｒ Ｑ ｖ 系统安装的时候会创建一 ｅｅ 个特 殊 的登 录— — Ｓ Ｓ Ａ，Ａ意 为系统 管 理员 ，它是一 个非 常 特殊 的登 录 ，在 默认 条件 下 ，Ａ对整 个 服务 Ｓ 器拥 有 完全 的控 制许 可 。不 能将 它从 服务 器 中删 除 或移 走 ，用 此登 录 时无 需 口令 。默 认 的 Ｓ Ａ对 Ｓ Ｌ Ｑ Ｓｒｅ 系统 的安全 构 成 严重 威 胁 ，因此 在 完成 Ｓ Ｌ ｅｖｒ Ｑ Ｓｒｅ 安 装 后 一 定 要 为 Ｓ ｅ ｒ ｖ Ａ指 派 一 个 登 录 口令 。 同 时 ， 好不 要在 数 据 库应 用 中使用 Ｓ 最 Ａ账 号 ， 只有 当
认 证 和 Ｗｉｄｗ 认 证 两 种 形 式 。如 果 使 用 的 Ｓ Ｌ ｎｏ ｓ Ｑ Ｓｒｅ 认证 ．那 么 Ｓ ＬＳｒｅ 会 通 过 对 所输 入 的登 ｅｖｒ Ｑ ｅ ｒ ｖ 录名 称与 口令 和数 据库 Ｍａｔ 中所 找到 的名称 与 口 ｓｒ ｅ 令来 检验 输 入的合 法性 。如 果使用 的 Ｗｉｄ ｗ ０ ３ ｎｏ ｓ ｏ ２ 最终 实现 两者 的动 态映射 关 系 。 具体 而言 ， 存储 虚 拟 化技 术通 过封 装 和虚 拟化 的存 储服 务有 效 地分 离 主 机层 、 储 网络 层 、 存 存储 层 ， 并且 实现 物 理路 径 、 件 硬 设 备特 征 、 物理 设备 位 置对 主 机透 明 。 储 资源 与应 存
浅谈SQL Server数据库应用时的安全措施
Technology Analysis技术分析DCW95数字通信世界2021.030 引言在人们的日常生活中，计算机的使用愈加频繁，数据库作为计算机中不可或缺的一个重要组成部分，能够让网络运行过程中的后台存储空间得到进一步的扩大。
但需要注意的是，相应数据库的使用虽然能够给人们的日常生活带来便利，其依旧无法得到解决的安全问题，也很可能会让人民群众的个人隐私信息受到侵害。
要想让数据库能够安全的进行使用，相关研究人员就须采取必要的措施来保障日常数据库的正常运行。
1 数据库安全概述想要对SQL Server 数据库的应用安全措施进行深入的探讨与研究，首先要对数据库安全这一概念有一个全面的认知。
所谓数据库安全，指的是在数据库使用中，其相关信息拥有一定的一致性，完整性，可用性和保密性。
所谓的信息一致性，指的是数据库中的信息与实际信息高度一致，不存在信息传输过程中的信息走样和信息虚假的现象。
所谓的信息完整性，指的是数据库在进行某样信息抓取的过程中，数据库所获得的信息与实际的信息完全相同，并不存在断章取义或局部抓取等现象。
所谓的信息可用性，指的是数据库中所抓取的所有信息都有较大的用途，用户在进行该信息的获取时，能够通过该信息达到一定的目标或使用效果，数据库中不存在无效信息。
而信息保密性，指的是用户在数据库中所留下的个人信息与用户在进行信息查询收集过程中所留下的信息查询痕迹是保密的，第三方无法通过非法手段进行相应个人信息和信息查询痕迹的获取。
需要注意的是，数据库安全与数据库管理系统有十分密切的联系，倘若数据库管理系统出现问题，那么数据安全就无法得到充分的保障，当然数据安全除了与数据库管理系统有密切联系之外，还与应用程序以及进行操作的网络环境有十分密切的关联，因此，研究者在对数据库安全问题进行分析与研究的过程中，除了要考虑到数据库管理系统的建设使用规范之外，还需要对其他可能会对数据库安全产生影响的因素进行深入的研究与探讨。
关于SQL Server数据库的安全问题的思考
科技资讯科技资讯S I N &T N OLOGY I N FORM TI ON 2008N O.01SCI ENC E &TEC HNO LO GY I N FO RM A TI ON I T 技术数据库通常都保存着企业,组织和政府部门的各种重要的信息,是电子商务、E RP 系统和其他重要商业系统的基础。
例如电信部门的用户记录,银行的帐户,财务的数据,这些数据库中的数据关系着企业的生命,也关系着人民群众的财产,一旦遭到破坏和丢失都会带来巨大的损失。
因此,如何保证这些数据的正确、安全、有效,一直是科学界和产业界关注和研究的重点。
SQ L Se r ve r 是微软公司开发和推广的数据库管理系统(DBM S ),在W i n-dows N T 或W i ndow s 2000下运行,是一个客户群服务器关系式数据库系统。
本文从数据库管理员的角度,分析了构造SQ L Se r ve r 数据库的安全策略的基本步骤与方法,希望更多的用户关注企业SQ L Se r ver 的安全问题,并使用其中那些策略和过程保护数据资产。
1数据库的安全机制数据库的安全性是指保护数据库避免不合法的使用,以免数据的泄漏、更改或破坏。
数据库安全机制是多层次。
具体可以划分为用户、数据库管理系统(DBM S )、操作系统(OS)、数据库(DB)四个层次对于用户部分的安全机制采用身份认证方法。
数据库管理系统则是通过访问控制保证资料安全性,任何一个用户意图控制一个对象都必须拥有相应的授权。
在操作系统级的安全控制主要侧重于文件权限保护,系统资源使用限制。
在数据库存储这一级目前大多采用加密技术,对数据进行加密,即便物理存储设备失窃后,其上存储的数据也可保证不被泄漏。
1.1身份认证数据库用户名是连接数据库、存取数据库对象的主体标记,是数据库中管理权限和控制数据访问的一种安全措施。
用户认证就是确定所要求的用户身份的正确性。
口令识别是数据库身份认证中最常用的方式。
SQL Server数据库安全策略研究
各 行各 业 也 都 得 到 了广 泛应 用 。 是 汁算 机 软／ 件 故 障 、 马 但 硬 木 病 毒 、 客 攻 击 等 多种 因素 ． 可 导 致 数 据 库数 据 丢 失 、 据 崩 黑 都 数 溃 和 系 统瘫 痪 。 因此 ， 于 数据 库 管 理 员 来 说 ． 个很 重 要 的任 对 一 务 就是 科 学 有 效 地 管 理Ｓ ＬＳ ｒｅＹ 库 ， 保 证 其 安全 。 ０ ｅｖ ｒ ４ ￣据 并 Ｓ ＩＳ ｒｅ ０ ５ Ｍｉ ｏ ｏ 公 司推 出 的 数 据 库 管 理 系 统 。 Ｑ ｅ ｒ ０ 是 ｅ ｓｆ ｖ ２ ｒ ｔ 与前 面几 个 版 本 相 比 ， Ｑ ｒ ｒ ０ ５ 过 数 据 库 加 密 、 高 级 Ｓ ＬＳ ｖ ０ 通 ｅ ｅ２ 安全 配置 、 码 政 策 和 细 化 许 可 控 制 等 安 全 策 略 ， 密 为数 据 提 供
Ｅｌｅ ｓ Ｄｏ ｅ ｓ Ｅｖ ｎｔ Ｅｎ Ｉ ｄ ｆ
Ｌｏ ｐ ｏ
Ｅ ｄ ｕ Ｐ Ｆ 束 播 放 幻 灯 片 时 ， 止 倒 计 时 ｎ ｂ‘ Ｆ 结 Ｓ 停
１ 引言 ．
随 着 计 算 机 技 术 与 网络 的广 泛应 用 ，Ｑ ｅｖｒ 据 库 在 Ｓ ＬＳ ｒ 数 ｅ
第 五 步 ： 代 码 窗 口中 编写 用 于捕 捉 Ｐ Ｔ 灯 片 开 始 播 放 在 Ｐ幻 的 事 件 ， 及 计 时 程序 代码 。 以
Ｐ ｂ ｉ ｉ Ｅ ｅ ｔ Ａｐ ｐ ｉ ａｉｎ ｕ ｌ Ｗ ｔ ｖ ｎ ｓ ｐ ＡｓＡｐ ｌ ｔ ｃ ｈ ｃ ｏ
２“ 入 对 象” ．插 采用这种方式 ． 在播 放 幻 灯 片 时 会 弹 出一 个 播 放 窗 口 ， 它
Ｄ ｉ ＝ ｒｅ ｏＷｈｌｊ Ｔｎ ｅｓ
Ｉ Ｔｍｅ＞ Ｓａｔ １Ｔ ｅ ‘如 果 与 前 一 次 记 录 的 初 始 时 ｆ ｉ ｒ ＝ ｔｒ＋ ｈ ｎ 间 相 差 １ 时 秒 Ｓａ ＝ ｉ ｅ ‘ 新 记 录初 始 时 问 ｔ Ｔｍ ｔ 重 ｔ ｒ ｔ ｔ ｌ 剩 余 总秒 数 少 １ ｔｔ 。 ＝— 秒
SQL Server的优点和缺点
一、sqlserver优点：易用性、适合分布式组织的可伸缩性、用于决策支持的数据仓库功能、与许多其他服务器软件紧密关联的集成性、良好的性价比等；为数据管理与分析带来了灵活性，允许单位在快速变化的环境中从容响应，从而获得竞争优势。
从数据管理和分析角度看，将原始数据转化为商业智能和充分利用Web带来的机会非常重要。
作为一个完备的数据库和数据分析包，SQLServer为快速开发新一代企业级商业应用程序、为企业赢得核心竞争优势打开了胜利之门。
作为重要的基准测试可伸缩性和速度奖的记录保持者，SQLServer是一个具备完全Web支持的数据库产品，提供了对可扩展标记语言(XML)的核心支持以及在Internet上和防火墙外进行查询的能力；缺点：开放性：SQL Server 只能windows上运行没有丝毫开放性操作系统系统稳定对数据库十分重要Windows9X系列产品偏重于桌面应用NT server只适合小型企业而且windows平台靠性安全性和伸缩性非常有限象unix样久经考验尤其处理大数据库；伸缩性并行性：SQL server 并行实施和共存模型并成熟难处理日益增多用户数和数据卷伸缩性有限；安全性：没有获得任何安全证书。
性能：SQL Server 多用户时性能佳；客户端支持及应用模式：客户端支持及应用模式。
只支持C/S模式，SQL Server C/S结构只支持windows客户用ADO、DAO、OLEDB、ODBC连接；使用风险：SQL server 完全重写代码经历了长期测试断延迟许多功能需要时间来证明并十分兼容；二、Oracle优点：开放性：Oracle 能所有主流平台上运行（包括windows）完全支持所有工业标准采用完全开放策略使客户选择适合解决方案对开发商全力支持；可伸缩性,并行性：Oracle 并行服务器通过使组结点共享同簇工作来扩展windownt能力提供高用性和高伸缩性簇解决方案windowsNT能满足需要用户把数据库移UNIXOracle并行服务器对各种UNIX平台集群机制都有着相当高集成度；安全性：获得最高认证级别的ISO标准认证。
浅谈SQL Server数据库的安全问题.doc
浅谈SQL Server数据库的安全问题作者：王有伟来源：《信息安全与技术》2012年第03期【摘要】目前随着互联网的逐步发展，很多信息都是在互联网上进行交互，包括非常重要的信息。
如何保护互联网中数据库的安全，越来越成为人们关注的话题。
本文对数据库的安全机制进行了研究，重点分析目前流行的SQL Server数据库的安全机制，安全隐患，及其使用其数据库时候如何进行必要的安全保护。
【关键词】 SQL Server；数据库；安全Discussion Security Issues on SQL Server DatabaseWang You-wei(Rural Credit Cooperative of Shandong Jinan ShandongJinan 250001)【 Abstract 】 At present, with the gradual development of the Internet, lots of information is on the Internet interaction, including the very important information. Protecting the Internet database security becomes an important topic. This paper studies the database security mechanism, focus on the analysis of the popular SQL Server database's security mechanism, security, and when using the database how to perform the necessary safety protection.【 Keywords 】 SQL Server; database; security1 引言目前各种数据库的出现可谓层出不穷，而SQL Server数据库由于其优点众多，让其在数据库领域独占鳌头，成为最受用户欢迎的数据库系统。
SQL Server数据库安全策略
Ｗｈ ｒ Ｕｓｒ ａ ＝ Ｕ ｓｒ ａ ｅｅ ｅＮ ｍｅ ＠ Ｎ ｅ ｍｅ Ａｎ ａｔＰ ｓ ｒ ｓ Ｖａｂｎｒ） Ｃ ｔ ｄＣ （ａｓ ｄＡ ｒｉａｙ＝ ａ （＠Ｐ ｓｗ ｒ ｓ ｗｏ ｓ ａｓ ｏｄ
的权 限 。但是 ， 通过 认证阶段并 不代表 能够访 问 Ｓ ｅ ｅ ＯＬＳ ｒ ｒ ｖ
Ｓ ｌ ｔ ｏ ｎ（１ｒｍ ｓｒ ｅ ｃ ｕ ｔ ｏ Ｕ ｅｓ ｅ Ｃ ｆ
数据库 中的数据 ， 户只有 在获 取访 问数据 库 的权 限之 后 ， 用
才 能够对服务器 上的数据库 进行权 限许 可下 的各种操 作（ 主 要 是针对数据库对 象 ， 如表 、 图、 视 存储过 程等 这 种用户访 ， 问数 据库 权 限的 设置 是 通 过用 户 帐 号 来 实现 的 。同 时在 Ｓ ＬＳ ｒｅ 数据库 中， 色作为用户 组的代 替物大大 地简化 Ｑ ｅｖｒ 角 了安 全性管 理 。在 Ｓ ｅｖｒ ＱＬＳ ｒｅ 数据 库 的安 全模 型 中主要包
Ｃｒ ａ ｅＰ ｏ ｅ ｕ ｅ Ｐ ｏ ｓ ｅ Ｖａ ｉ ｅ ｔ ｒ ｃ ｄ ｒ ｒ ｃ ＩＵｓ ｒ ｌ ｄ
＠Ｕｓｒ ａ ａｃａｒ ２， ｅＮ ｍｅБайду номын сангаас ｒｈ ｒ３ ） ＠Ｐ ｓｗ ｒ ａｃ ａ（ ２ ａｓ ｏｄＶ ｒｈｒ ３ ）
Ａｓ
是否正确 ， 以此来 验证其 是否 具有连 接 Ｓ Ｌ Ｓｒｅ 数据 库 Ｑ ｅ ｒ ｖ
［ 摘
要】文中论述 了
［ 关键 词］Ｓ ｅｖｒ ＱＬＳｒｅ ；
１ ．前言 微 软 的 Ｓ ＬＳ ｒｅ 数 Ｑ ｅｖ ｒ 很多 电子 商务 网站、企业 内部信 息化 平 台等都 是基于 Ｓ Ｌ Ｑ Ｓｒｅ 数据库 上的 ， ｅｖｒ 但是数据 库 的安全性还 没有被 人们跟 系 统的安全 性等 同起来 ，一般 认为 只要把 网络 和操作 系统 的 安全搞好 了， 那么所 有的应用程序 也就安全 了。而且一些安 全公司也 忽略数 据库 安全 ，这就使 数据 库 的安全 问题 更加 严 峻 。数据 库系 统中存在 的安全漏 洞和 不 当的配置通 常会 造 成严重 的后 果， 且难 以发现 。数据 库应用程序 通常 同操 而
浅谈SQL Server数据库的安全性
随着计算机技 术的飞速发展 ， 数据库的应 用十分广泛 ， 深入到各个领域 ， Ｆ ｘｒ、 ｃ 从 ｏｐ Ａ — ｏ ｃｓ 到 Ｍ ｃ ｓｆ Ｓ Ｌ Ｓｒ ｒＯ ａ ｅ 数 据库 的 ｅ ， ｉ ｏ ｔ Ｑ ｅ ｅ、 ｒ ｌ， ｓ ｒ ｏ ｖ ｃ 规 模越 来越 大 ，其功 能 也越 来越 强大 。 Ｍ— ｉ ｃ ｓｆ Ｓ Ｌ Ｓｒｅ 是运 行在 Ｍｉ ｓ ｔＷｉｄｗ ｒ ｏｔ Ｑ ｖｒ ｏ ｅ ｃ ｏ ｎ ｏ ｓ ｏ ｒｆ Ｎ Ｔ上的一个高性能数据库管理 系统 ， 它基于多 线程 的客户 ， 服务器体 系结构 ，这一点与其他 流行的多进程 客户 ， 服务器 数据 库 系统 不同 ， 多线程的数据库系统与多进程的数据库系统相 比， 装入 Ｍｉ ｏｏｔＳ Ｌ Ｓｒｅ ， 仅启 动一 ｒ ｅ ｓｆ Ｑ ｅ ｒ时 仅 ｖ 个进程 ， 而每个用户有各 自的线程 ， 这种结构需 要的资源 比多进程系统少得多。Ｍｉ ｏｏ Ｑ ｃ ｓｆ Ｓ Ｌ ｒ ｔ ｅｖ 的强大功 能还表现在其保证数据的完整 Ｓｒ ｒ ｅ 性 ， 以在整个 局域 网内部保证数据库信息 的 可 完整性和一致性。因此 Ｍｉ ｏｏｔＳ Ｌ Ｓｒｅ 在 ｃ ｓｆ Ｑ ｖ ｒ ｒ ｅ 许多单位得以应用 ， 从对数据库的访 问以及数 据库 的备份和恢复策 略等数据库安全问题浅析 如何有效地保证数据库 系统 的安全。 １访问数据库 在用 户使用 客户计算 机通过 网络实现对 Ｓ Ｌ Ｓｒ ｒ Ｑ ｖ 服务器的访问时 ，用户首先要获得 ｅ ｅ 客户计算机操作系统的使用权 。 一般来说 ， 在能 够实现 网络互连 的前提 下 ，用 户没有 必要 向 Ｓ Ｌ Ｓ ｒ ｒ服务器的主机进行登 录 ， Ｑ ｖ ｅ ｅ 除非 Ｓ Ｌ Ｑ Ｓｒ ｒ服务 器就 运行 在 本地 计算 机 上 。Ｓ Ｌ ｅｅ ｖ Ｑ ｅｖ ｒ可以直接访 问网络端 口，所以可以实现 Ｓｒｅ
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、 引言
文献标识码:C
文章编号: 1671一1440(2( 7)02一0078一02 ) X 一
i oot Mcr s f 公司的sQL s r er 因为其价格便宜、 ev 功能强
大、 容易操作等特点已经被中国中小企业广泛应用， 但是
很多小站点在相同的机器上面运行 wEB 服务器和 SQL S tr e (服务) ， 的为了降低成本， e vr 目 但是这种配置使得
是不可原谅的， 等于是 自找麻烦。
Win o s 安全增强机制中获益， dw 例如更强的身份验证协议 以及强制的密码复杂性和过期时间。 ， 另外 凭证委派(在多 台服务器间桥接凭证的能力)也只能在win o s 身份验证 dw 模式中使用。 在客户端， d o s 身份验证模式不再需要存 Win w
运行。 c r o 提供 NBSA 的免费下载。 Mi o f s t
3. 使用win o s 身份验证模式 dw 在任何可能的时候， 您都应该对指向sQL S r e 的连 e vr
接要求 Win o 。 d w 身份验证模式 。 它通过 限制对 M cr s f i oot
用户I 和密码， D 如果sQL服务器已 经在配置好具体的用
中国
包头
取大 学报
20 7 年 第 2 期 0
谈 SQL S r e 的缺陷和安全策略 e vr
王勤宏
( 苏州市职业大学， 江苏 苏州 2 5004 1
摘 要:文中 论述了M SQL S r e 。 S e v r 数据库安全 机制及其主 要安全缺陷。 讲述如何有效保护:SQL S r e 数据库。 详细 e vr 关健词:SQL S r er;M ;安全机制 ev BS^
器能利用的内部的鉴定方法不同而且完全分开。 因此没有
网 权限的 可能 络 用户 被指定 有全 作为 部权限的SQ 务器 L服 管理者。 默认情况下， 服务器证实认定用户， sQL a(系统管 理员)。 依靠内 部鉴定， 服务器可以 SQL 拥有一个自己的特 定的系统管理员帐号和口 并且独立于wI D0wS 安全 令， N
二、 为什么sQL s r ; 会容易受到攻击 ev e
坏sQL服务器。 虽然M o sof 过去曾 icr t 发布secudty B ulletin
以解决各个问题， 但我们仍须更加注意这些缺陷聚集的严 重性。 20 1年1 月以 Mcr s f 一共发布了 自0 2 来， o o t i 八个Se u t cr y i Bulla i ， t n 至少有十多个关于sOL Se e: 的安全缺陷。 v r 这些安 全缺陷 正是人侵者危害你的SQL S r e 途径。 e vr 三、 样才能有效保护SQL s r e 怎 e vr 1. 安装最新的服务包 为了提高服务器安全性， 最有效的一个方法就是升级
一个黑客能够更加容易破坏你的数据库。 一个替代的， 更加
Q e v 全 一 常 被 们 视 问 。至 人 S Ls r er安 是 个 常 人 忽 的 题 甚 有 认
为sQ s r e: 不像其他服务器一样容易受到攻击。 Le v 在进行 安全审核的时代， 我们可以明确地告诉您， L S r e 已经 SQ e v r
户、 角色和权限的情况下建立。 但是， 一个管理员没有改变
机器的省缺设置， 那些机器将变和域用户帐户的连接， Q L S r e 免 保护S e v r
受大部分 I t me 的工具的侵害， ne t 而且， 您的服务器也将从
毒spida(又名SQ‘ nake 或者Digispid) 出现。 它损害了 许多 用默认用户名“ ” a s 和一个空白的密码安装的sQL 服务器。 再一次使用有完全管理权限的用户名“ ” a s 和一个空白 密码
它连接机制内做好安全预防工作。 例如，c 。 n 公司的动 mi 阳 态数据对象(Active Da a ob e ts)在connectionst五 内传递 t jc ng
1 具， 包括SQL S r er 和M o sof sQL ser er Z Desktop ev icr t v o00 n ie s 0 E g n (M E 2 0 )。 D 它可以在本地运行， 也可以 通过网络
到 SOL 蕊钾 20O S r ice Pack 3a(SP3a) 。 er Oe v 另外 ， 您还应该安装所有己发布的安全更新。
i oo i Mcr s f 为sQ L服务器建立两 个安全机制， 个是 一 通
过操作系统驱动用户权限， 而另外一个是通过一种内部的
方法来驱动。 如果你已 经配置好了一台SQL服务器来对用 户的操作系统权限证明做出反应， 则为这个用户访问 wI ID W 网 N O S 络而建立的注册号和密码被直接传送到SQL 服务器。 这个本地使用的wI D wS 鉴定机制与sQL 服务 NO
机制。 这两种保证机器安全的方法都很容易受到攻击。 所以
2. 使用 Mcr s f 基线安全性分析器(MBSA 来评估服 i oot ) 务器的安全性 MBs 是一个扫描多种 Mi r s f 产品的不安全配置的 A coot
还有许多SQ S r e 被轻而易 Le vr 举攻破是因 管理员对 为 sQ L服务器配置不当造成的。 我们知道一个应用程序可以 通过一些数据存取组件访问SQ 服务器， I 这些组件往往在
成为并将可能继续成为最容易成功的攻破 目 标之一。
安全的配置是将W EB服务器和SQL 服务器安置在不同机
器上， 并且用 IP ec 协议一因特网安全协议连接它们。 s
M r o SQL 服务器还存在多个严重的安全缺陷， cs t io f 允
许远程攻击者取得数据库的敏感信息、 更改数据库内容、 破
收稿 日 期:2006一12一。 5 作者简介: 王勤宏(197 一) ， 江苏淮安人， 8 男， 苏州市职业大学 教师， 研究 向:软件与
78
库开发
储密码。 存储密码是使用标准SQL s r e 登录的应用程序 e vr