access数据库安全方案

/****************************************************************** 
作者：edwin(▓男兒〆無淚）
    日期：2010.7.27
          注：    转载请保留此信息
    更多内容，请访问我的博客：blog.csdn.net/windxfxx8 

******************************************************************/

注：此部分内容来自hi.baidu.com/moonnight366经整理而成

1.修改数据库文件名
不用说，这是最最偷懒的方法，但是若攻击者通过第三方途径获得了数据库的路径)，就玩完了。比如说攻击者本来只能拿到list权 ，结果意外看到了数据库路径，就可以冠冕堂皇地把数据库下载回去研究了。另外，数据文件通常大小都比较大，起再隐蔽的文件名都瞒 不了人。故保密性为最低。
2.数据库名后缀改为ASA、ASP等
此法须配合一些要进行一些设置，否则就会出现本文开头的那种情况
(1)二进制字段添加 .
(2)在这个文件中加入<%或%>，IIS就会按ASP语法来解析，然后就会报告500错误，自然不能下载了。可是 如果只是简单的在数据库的文本或者备注字段加入<%是没用的，因为ACCESS会对其中的内容进行处理，在数据库里他会以 < %的形式存在，无效！正确的方法是将<%存入OLE对象字段里，这样我们的目的就能达到了。

方法：
首先，用notepad新建一个内容为 <% 的 文本文件，随便起个名字存档。
接着，用Access打开您的数据库文件，新建一个表，随便起个名字，在表中添加一个OLE对象的字段，然后添加一个记录， 插入之前建立的文本文件，如果操作正确的话，应该可以看到一个新的名为"数据包"的记录。即可

3.数据库名前加"#"
只需要把数据库文件前名加上#、然后修改数据库连接文件（如conn.asp）中的数据库地址。原理是下载的时候只能识别& nbsp;#号前名的部分，对于后面的自动去掉，另外在数据库文件名中保留一些空格也起到类似作用，由于HTTP协议对地址解析的特殊性，空格会被编码为"%",，所以下载也是无效的这样的修改后，即使你暴露了数据库地址，一般情况下别人也是无法下载！

4.加密数据库
首先在选取"工具->安全->加密/解密数据库，选取数据库，然后接确定，接 着会出现"数据库加密后另存为"的窗口，以上的动作并不是对数据库设置密码，而只是对数据库文件加以编码，目的是为了防止他 人使用别的工具来查看数据库文件的内容。 接下来我们为数据库加密，首先以打开经过编码了的 数据库，在打开时，选择"独占"方式。然后选取功能表的"工具->安全->设置数据库密码"，接着输入密码即可。

加密后要修改数据库连接页， 如：
con.open "driver={microsoft access driver (*.mdb)};uid=admin;pwd='pwd';dbq="&server.mapth（#*.mdb）

5.数据库放在WEB目录外或将数据库连接文件放到其他虚拟目录下

这个方法一般也不适合购买虚拟空间的用户。

6.使用ODBC数据源。
conn.open  "DSN=mydsn"不过这样是比较烦的，目 录移动的话又要重新设置数据源了，更方便的方法请看第7，8法！

7.添加数据库名的如MDB的扩展映射
这个方法就是通过修改IIS设置来实现，适合有IIS控制权的朋友，不适合购买虚拟主机用户(除非管理员已经设置了）。这个 方法我认为是目前最好的。只要修改一处，整个站点的数据库都可以防止被下载。无须修改代码即使暴露目标地址也可以防止下载,我们在IIS属性---主目录---配置---映射---应用程序扩展那里添加.mdb文件的应用解析。注意这里的选择的D LL（或EXE等）似乎也不是任意的，选择不当，这个MDB文件还是可以被下载的， 注意最好不要选择选 择asp.dll等。你可以自己多测试下 这样修改后下载数据库就出现（404或50 0等错误）

8：使用.net的优越性
通过修改.NET文件，实现本地也不能下载！ 这几个方法中，只有第7和8个是统一性改的，一次修改配置后，整个站点的数据库都可以防止下载，其他几个就要分别修改数据库 名和连接文件，比较麻烦，不过对于虚拟主机的朋友也只能这样了！
注释：其实第6个方法应该是第5个方法的扩展，可以实现特殊的功能，但对于不支持.net的主机或者怕设置麻烦的话，还是直接用第 5个方法了，而且默认情况下第6个方法，依然可以通过复制连接到同主机的论坛或留言本发表，然后就可以点击下载了（因为这样的引 用页是来自同主机的）

9.利用NTFS分区的文件权限设置(by percyboy)
我们已经知道，ASP.NET 中使用 ADO.NET 访问数据库，通过 OleDb 的连接可以访问 Access 数据库— —我们非常常用的低端数据库之一。本文讨论了 ASP.NET 中可能看到的若干错误提示，从中看到Access 2000 和 Access XP 创建的数据库文件 ，在访问出现错误时会出现不太相同的错误提示。希望对大家有所帮助。另一个要点是，希望通过此文，使大家对 ASP. NET 中 Access 数据库文件的 NTFS 权限设置有所新的认识 。

好了就此止笔……