当前位置:首页 >  站长 >  建站经验 >  正文

数据库被入侵 如何做数据库的安全加固与防护

 2019-06-28 10:51  来源:A5用户投稿  我来投稿   websafe的个人主页 撤稿纠错

  短视频,自媒体,达人种草一站服务

某一网站平台的客户数据库被黑客篡改了,篡改了会员的银行卡信息以及金额,包括注单也被黑客篡改,导致平台的损失很大,在后台提现的时候,客户才发现会员的数据有异常,觉得不得劲,查询该会员账号的所有投注信息发现了问题。数据库被攻击了,随即通过朋友介绍找到我们SINE安全公司,寻求安全解决,防止数据库被攻击,被篡改。

数据库的安全问题每天都会发生,不光光篡改你的数据,前些日子有一客户的数据库被删除了,并留下内容说是数据库已备份,需要比特币来恢复,大约价格在几万左右,客户之前有做异地数据库备份,这才将损失降到最低,但是日后的数据库安全问题给他们敲响了警钟,需要做安全防护与部署,防止后期再被删除,攻击。甚至有些网站的数据库被脱裤,所有的会员账号密码名字,手机号都隐私信息被泄露出去,被打包卖了,数据库的安全问题不容忽视。关于数据库的安全设置,以及防止数据库被攻击,如何查找攻击者,我们SINE安全跟大家详细的讲解一下:

目前常见的数据库攻击的特征分为,数据库root密码的弱口令攻击,以及sql注入攻击,数据库提权加管理员账户,数据库写入木马代码,数据库某一表被删除,数据库内容被篡改等等,通过对数据库日志的安全分析,可以发现问题的根源与攻击的源头。

首先我们要将我们的数据库开启log日志记录功能,每一个对数据库的请求,读写,都要记录下来,执行了哪些sql语句,查询,增加,删除等等,这样我们就可以看的很明白,如何开启mysql日志功能呢?连接数据库登陆root管理员账户,然后执行 :SET GLOBAL general_log = 'On';这一句命令,这是开启,接下来就是存在log日志的文件地址,再执行SET GLOBAL general_log_file = '/mysqlrizhi/safe.log'; 当你在网站进行查询的时候就会记录你的sql执行语句,如下图:

通过上面我们可以看到,第一个是时间,几点几分,connect是连接数据库的操作,init db是数据库的名称,query是查询的意思,针对admin表进行查询操作,quit就是退出,我们要看明白日志才能分析出数据库被攻击的原因。数据库日志还会出现一些尝试利用弱口令进行攻击的,如下图:

上面就是用数据库密码爆破工具来进行密码的猜测,针对于数据库的端口mysql默认是3306端口,针对这一端口,我们可以进行安全限制,对其指定IP放行,不对外公开访问,这样大大的杜绝了数据库的攻击与密码的猜解。数据库被攻击,很重要的一些特殊sql语句要记住,想drop,以及lock,info outfile,update,dumpfile,都是一些管理员的操作,备份数据库导出数据库,以及输出文件到网站目录,删除某个表,对数据库进行更新等操作。

数据库安全设置与防篡改,防攻击的办法

数据库的默认端口3306或者是sqlserver1433端口都要做端口的安全策略,限制对外开放,或者使用phpmyadmin对数据库进行管理等操作,网站的数据库调用账户使用普通权限账户,只有读写,增加删除等操作,没有管理员权限,时刻对数据库进行备份,设置数据库备份计划,每天,每小时都可以设置备份到指定的目录,如果使用的是阿里云的服务器建议开启阿里云的快照备份,如果自己对数据库不是太熟悉的话,也不知该如何防止数据库被攻击,建议找专业的网站安全公司来处理解决数据库被篡改,删除的问题,像Sinesafe,绿盟那些专门做网站安全防护的安全服务商来帮忙。再一个数据库的配置开启魔术模式,对sql注入的字符进行自动转义,防止sql注入攻击。本文来源:www.sinesafe.com

 

作者: websafe    /    文章:63篇

相关标签
数据库
网站安全

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 不同的网站有不同的风格 与产品相结合才能给用户更好的体验

    网站与一个人的穿衣着装一样,具有很多风格。现在大部分网站在建站时,都选择了一种较为大众化的风格,这虽然不算是什么错误,但是显然如果想要让网站更加出彩的话,就需要从设计的角度来为它增色。

  • 如何在win7系统里创建ASP程序测试环境

    因为本身自己是个网页设计师,以前经常会在网上找一些ASP程序代码写的CMS,下载下来到自己的电脑上测试学习使用,所以在网上搜索了一些关于在系统里面创建ASP程序测试环境。

    标签:
    asp建站系统
  • b2b2c多用户商城系统的盈利模式有哪些?看完这个你就懂了!

    竞价排名是按点击付费,广告出现在搜索结果靠前的位置,如果没有被用户点击,不收取广告费。但大多数企业为了促进商城的产品销售,都希望自己的商城网站排名靠前,根据商家缴纳的会员费标准不同决定商城网站在主站中的排名情况,如果排名靠前,买家在搜索对应信息时,你的网站就会排在其第一位,可以让买家第一时间看到。其

  • 搭建网上商城系统要注意哪些事项?

    这个冬季,天气异常寒冷,想买东西,又不想出门怎么办?随着互联网的快速发展,足不出户网上购物已成为一种潮流,而这种新兴的购物方式带动了电商行业的蓬勃发展,涌现出了京东、天猫、聚美优品等电商大佬企业。

  • 模板网站和定制网站哪个好

    互联网+时代,许多公司会通过建设网站,在互联网上扩展其营销渠道,找格子网络建设网站,主要有模板网站和定制网站两大类,那模板网站和定制网站哪个好?今天,格子网络给大家分析下模板网站和定制网站的优缺点,希望能帮到大家,更好的选择。

  • 网站建设前需要搞清楚这几个问题

    对于很多不了解网站的企业而言,建站其实是很简单的,会找一家合适的建站公司,然后将一切事宜都交由其处理,这样做虽然是非常省事,但是企业不去参与其中的建设,那么对网站就不会有了解,后期更多的事项都不能够把控,所以这样的方式不可取,企业建站前要学着了解一些概念性的问题。

    标签:
    网站建设
  • 如何解决网站被DDOS攻击?彻底恢复网站的正常访问

    随之移动互联网数据网络的不断进步,在给大家提供多种多样便捷的另外,DDoS攻击的经营规模也愈来愈大,如今早已进到了Tbps的DDoS攻击时代。DDoS攻击不但经营规模愈来愈大,拒绝服务攻击也愈来愈繁杂,很多传统的ddos攻击安全防护对策已没法解决日渐演变的攻击方法。

    标签:
    ddos攻击
  • 都说做网站能够赚钱?说说我的亲身经历

    常常看到各种网赚,记得以前自己就上过当,受过骗,心心念念的赚钱、赚钱,放到促成了别人赚钱,现在网络上还是充满了各种欺骗,估摸着还是有源源不断的人,会走这么一遭。直到后来,自己开始对互联网有更深的认识,总算是不会轻易的受骗(这都是钱堆出来的,哭,心疼自己3秒),能够看错它到底是不是套路,通过教你赚钱来

  • APP渗透测试流程 漏洞检测与安全加固方面介绍

    目前越来越多的APP遭受到黑客攻击,包括数据库被篡改,APP里的用户数据被泄露,手机号以及姓名,密码,资料都被盗取,很多平台的APP的银行卡,充值通道,聚合支付接口也都被黑客修改过,导致APP运营者经济损失太大,很多通过老客户的介绍找到我们SINE安全公司,寻求安全防护,防止攻击。

  • Css代码中color属性的几种常见用法及区别

    大家在制作网站和编写css代码的时候,经常都会使用到color属性,这也是一个网页在制作中非常常见的属性,但是,就是这样一个最常用的属性也有多种表达方法,可以在不同的时候派上用场。

榜单

热门排行

信息推荐

扫一扫关注最新创业资讯