資料庫入侵的六大手段與防範措施（三）

前面兩篇文章我們說到了對弱密碼或預設使用者名/密碼的破解 和特權提升，這篇文章我們來說下利用未用的和不需要的資料庫服務和功能中的漏洞來實作入侵。

　　當然，一個外部的攻擊者會尋找較弱的資料庫密碼，看其潛在的受害人是否在運作其Oracle資料庫上運作監聽程式(Listener)功能。監聽程式可以搜尋出到達Oracle資料庫的網絡連接配接，并可以轉發此連接配接，這樣一來就會将使用者和資料庫的連結暴露出來。

　　隻需采用一些Google hacking攻擊，一位攻擊者就可以搜尋并找到資料庫服務上暴露的監聽程式。Markovich 說，“許多客戶并沒有在監聽程式上設定密碼，是以，黑客就可以搜尋字元串并找出Web上活動的監聽程式。我剛才搜尋了一下，發現有一些可引起人們注意的東西，如政府站點。這确實是一個大問題。”

　　其它的特性，如作業系統和資料庫之間的鈎子可以将資料庫暴露給攻擊者。這種鈎子可以成為達到資料庫的一個通信連結。Yuhanna說，“在你連結庫和編寫程式時…那将成為與資料庫的界面，”你就是在将資料庫暴露出去，并可能在無認證和無授權的情況下讓黑客進入内部。

　　通常，資料庫管理者并沒有關閉不需要的服務。Julian 說，“他們隻是任其開着。這種設計過時且管理跟不上，這是讓其發揮實際作用的最簡單方法。不需要的服務在基礎結構中大搖大擺地存在，這會将你的漏洞暴露在外。”

　　關鍵是要保持資料庫特性的精簡，僅安裝你必須使用的内容。别的東西一概不要。Markovich說，“任何特性都可被用來對付你，是以隻安裝你所需要的。如果你并沒有部署一種特性，你就不需要以後為它打更新檔。”