实例讲解Web数据库安全防护(2)

MSSQL数据库是大中型Web站点常采用的数据库，对于SQL数据最大的威胁是注入。攻击者通过注入来调用SQL语句执行系统命令，因此其危险性更大。一个注入点，有可能造成整个Web服务器的沦陷。防MSSQL注入可以从下面几个方面入手。

（1）慎重选择建站系统

通过站点系统建立一个Web站点是非常容易的，但是某些站点系统代码编写不够严谨，考虑不周，变量过滤不严等使得可被攻击者利用。因此，选择一款安全的站点系统是至关重要的。当然，没有百分之百安全的站点系统。管理员如果懂代码的话可以进行检测分析，看看是否有漏洞。另外，可以扮演入侵者进行入侵检测。最后，及时打补丁也是非常重要的。

（2）最小权限连接数据库

Web站点连接数据库都是通过相应的帐户进行连接，在这些帐户中SA是权限最大的也是最危险的。数据库不要用SA帐户，使用SA帐户连接数据库对服务器来说就是一场灾难。一般来说可以使用DB_OWNER权限帐户连接数据库，如果可以正常运行，使用public用户最安全的。设置成dbo权限连接数据库之后，入侵者基本就只能通过猜解用户名和密码或者是差异备份来获得webshell了，对于前者，我们可以通过加密和修改管理后台的默认登陆地址来防御。对于差异备份，我们知道它的条件是有备份的权限，并且要知道web的目录。这样被攻击的可能性大大地降低。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]