基于ASP的WEB数据库安全初探

本文针对当前应用广泛的基于ASP的WEB数据库技术,讨论了WEB数据库的自身安全和ASP的访问问题,并提出了实现基于ASP的WEB数据库网站安全问题的解决策略。

维普资讯 http://www.77cn.com.cn

20年 2总 4期 06第1期(第 6 )

谚中砚 j裳目代各

基于 A P的 WE S B数据库安全初探孔峰(曲阜师范大学山东日照 26 2 ) 7 8 6摘要：本文针对当前应用广泛的基于 A w P的 E s B数据库技术，讨论了W B数据库的自身安全和 A E P的访问 s 问题，并提出了实现基于 As P的 WEB数据库网站安全问题的解决策略。 关犍词：W B E数据库 A P访问安全 S管理信息系统 ( I )的开发正由传统的体系结构 MS因，现在应用的已经很少；而J P S虽然在可移植性上非

向客户/服务器 (/ )体系和浏览器/ CS服务器 (/ ) B S体系结构的网络系统发展，网络 ( E )数据库技术成 WB为管理信息系统开发的核心。而B S/体系结构以其客户

常优秀，但其执行效率也不是很理想，且编程比较复杂，应用也不如A P S技术广泛。A P 技术以其编程灵 S活、简洁，具有较高的性能等优秀表现，成为目前访问WB E数据库应用最为广泛的一种前台访问技术。 可以说，A P A c s或A P F x r的解决方案是 S+c e s S+ oP o目前W B E数据库在中小型企事业单位管理信息系统中应

端系统的简洁性更成为当今网络管理信息系统的主流。在B S/体系结构中，所有的数据库操作都集中在服

务器端，客户端只需要安装上操作系统、网络协议和WB E浏览器，就可以通过网络对服务器中的数据进行交互操作。这种体系结构下的网络数据库系统，我们常称

用最为广泛的技术解决方案。但由于我们以上提到的A c s和F x r数据库管理系统的缺陷和A P ce s oP o S开放的网

之为W B E数据库。而W B E数据库的这种网络操作方式， 在给用户带来方便的同时，也给服务器端数据的安全性造成了一定的威胁。下面将就当前流行的W B E数据库访问技术来探讨一下数据库的访问安全问题。一

络环境，使得系统后台数据库存在一定的安全风险。

二、基于 A P的 W B S E数据库的安全问题根据A P S网络服务器的结构，其安全机制可以分为

、

W B数据库的多种技术结构和访问 E

四个层次，即操作系统层次、I层次、数据库管理系 s I统层次、A P s源代码层次。对于操作系统层次、I S 层次

的安全问题，一般是 I

方案WB E数据库的应用系统通常分为两个部分后台服务器数据库和前台数据访问接口。

非法用户抓住了操作系统和 I s 的系统漏洞对服务器进 I行攻击，达到窃取、篡改数据库数据的目的。在较早版

对于后台服务器数据库。目前，大型的数据库服务器一般采用O a l,S L e e,S b s等大型数据 r c e O S v r y a e库管理系统来组织后台数据库，而这些大型数据库管理系统一般具有完善的安全控制机制。对于一些中小型企事业单位，由于业务量有限，一般采用 ACCess, F x r等中小型的数据库管理系统，这些中小型数据 oPo库管理系统由于本身在安全上的缺陷。很容易造成数据被非法用户窃取甚至是篡改。 对于前台数据访问接口。目前在W N O S I D W环境下有

本的I s .中就存有很大漏洞，如只要在客户端浏览 30 I器地址栏中将A P S文件名后加上几个特殊字符就能将源 AP S文件下载。对于这种系统的漏洞，我们可以通过给

操作系统和I s 打上漏洞补丁程序或者直接升级操作系 I统和I s 版本的方式来解决这一安全问题。推荐用户使 I用W n o s P I S .版本以上的最新系统，并且及时 i d w X+ 6 O I更新升级系统。 对于数据库管理系统层次的安全问题，可以分为数

多种访问WE数据库的技术，主要有：公共网关接口 BC I C m o a e a I t r a e,I T R E数据 G (o m n G t w y n e f c ) N E N T

据库存储方面的隐患和数据库加密方面的隐患。由于 AP S网页要访问数据库中的数据信息，就需要在 A P S代码中连接引用数据库，如果引用不当就可能造成数据库

库连接器I C I t r e D t b s C n e t r, D ( n e n t a a a e o n c o )J V/D C A A 3 B语言编程的J P S以及微软公司推出的动态服

存储路径的泄漏，这一问题我们将在下面具体分析。而 数据库的存储位置一旦暴露，就有可能被非法用户下载，这时候能保护数据库数据的最后一道防线就是数据

务器页面A P A t v e v r a e等等。前两种技 S ( c i e S r e P g )术由于编程较复杂、开发成本高和后期维护困难等原

库本身的加密机制，而A C s C e数据

库的密码机制很简 s

65