Ya sea a través meter manual y pinchar o el uso de herramientas de pruebas de seguridad, los atacantes maliciosos emplean una variedad de trucos para irrumpir en los sistemas SQL Server, tanto dentro como fuera de su firewall. Es lógico, entonces, si los hackers están haciendo, lo que necesita para llevar a los mismos ataques para probar la fuerza de seguridad de sus sistemas. Aquí hay 10 trucos de hackers para obtener acceso y violar los sistemas que ejecutan SQL Server. 1.
Las conexiones directas a través de Internet Estas conexiones pueden ser utilizados para conectar a servidores SQL sentada desnuda sin la protección de firewall para el mundo entero para ver (y acceso). Puerto Informe de DShield muestra cuán muchos sistemas están sentados ahí fuera esperando a ser atacados. No entiendo la lógica detrás de hacer un servidor crítico como éste puede acceder directamente a través de Internet, pero todavía encuentro este defecto en mis evaluaciones, y todos recordamos el efecto del gusano SQL Slammer tuvo en tantos sistemas SQL Server vulnerables.
Sin embargo, estos ataques directos pueden dar lugar a la denegación de servicio, desbordamientos de buffer y más. 2. La vulnerabilidad Análisis de vulnerabilidad de exploración a menudo revela deficiencias en el sistema operativo subyacente, la aplicación web o el sistema de base de datos en sí. Cualquier cosa, desde faltan parches de SQL Server para Internet Information Services (IIS) debilidades de configuración de SNMP hazañas pueden ser descubiertas por los atacantes y llevar a un compromiso servidor de base de datos.
Los malos pueden utilizar código abierto, de cosecha propia o herramientas comerciales. Algunos incluso son lo suficientemente inteligentes como para llevar a cabo sus hacks manualmente desde la línea de comandos. En el interés de tiempo (y un mínimo giro de la rueda), recomiendo el uso de herramientas comerciales de evaluación de la vulnerabilidad como QualysGuard de Qualys Inc. (para la exploración general), WebInspect de SPI Dynamics (para el escaneo de aplicaciones web) y Next Generation Security Software Ltd.
de NGSSquirrel para SQL Server (para la exploración específica de base de datos). Son fáciles de usar, ofrecen la evaluación más completa y, a su vez, proporcionar los mejores resultados. La Figura 1 muestra algunas vulnerabilidades de inyección SQL usted puede ser capaz de descubrir. Figura 1: vulnerabilidades de inyección SQL comunes que se encuentran utilizando WebInspect. 3.