数据管理系统-week12-数据漏洞

---

前言

这次课先跟大家分享一下简单的概念，然后说明什么情况下回发生数据漏洞，有了漏洞，那必然会有攻击，这里给大家简要介绍著名的SQL注入攻击与特洛伊木马，最后给大家一下消除漏洞并且强化我们数据库安全的方法，这些方法都非常实用，建议收藏哦😁

---

一、重点概念说明

开始之前，想跟大家聊聊一些概念的定义。
数据漏洞可以理解为未经过合法授权的人员可以访问数据的路径。
•风险：风险是指获得或失去有价值的东西的可能性
•威胁：威胁是指对他人造成伤害或损失的沟通意图
•脆弱性：脆弱性是指（系统或单元）无法承受敌对环境的影响
•攻击向量：攻击向量是黑客可以访问计算机或网络服务器以提供有效负载或恶意结果的路径或手段。攻击向量使黑客能够利用系统漏洞，包括人为因素

二、数据漏洞是怎么产生的？

软件缺陷

• 软件缺陷在软件开发过程中意外或有意地构建到代码中，包括设计缺陷和编码错误（35%的成功攻击利用了这些类型的错误）
• 设计缺陷涉及设计决策，导致系统固有地不安全编码错误包括普通的软件错误以及通过疏忽而非设计而添加的功能（开发人员未考虑所有潜在后果的结果）
• 编码错误包括缓冲区溢出、竞争条件、系统中的后门，甚至是非随机的随机数生成器

配置错误

• 配置错误占据了漏洞的65％。
• 配置错误包括在系统配置时设置不必要和危险的服务，使系统启动服务并允许不必要的连接。
• 这通常是由于使用默认配置安装系统，而不是使用精确定义的配置来消除所有不必要的功能而造成的（使用默认配置更容易，因为供应商更倾向于提供一个功能全开的起始配置）。

访问管理错误

• 当访问控制包含配置错误时，整个安全模型就会崩溃 - 因为大多数复杂系统都有基于组、角色、权限和委派概念的精细访问控制方案，所以在访问控制配置中出现错误是很容易的。
• 很难检测到利用这种错误的情况，因为它无法被入侵检测或其他监控系统检测出来，原因是这些系统错误地假设外部访问看起来是正确的。

三、著名的SQL注入攻击

SQL注入攻击是一种常见的网络安全漏洞，它利用了应用程序对用户输入数据的不正确处理。通过在输入中插入恶意的SQL代码，攻击者可以绕过应用程序的身份验证和授权机制࿰