搜索

[9693] 2015-12-29_2015年数据库漏洞威胁报告

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2015-12-29_2015年数据库漏洞威胁报告 2 0 1 5 年 数 据 库 漏 洞 威 胁 报 告 安 华 金 和   F r e e B u f   2 0 1 5 - 1 2 - 2 9 互 联 网 就 像 空 气 ， 彻 底 的 融 入 我 们 的 生 活 之 中 。 因 此 我 们 愈 发 习 惯 把 越 来 越 多 的 数 据 保 存 在 网 上 以 换 取 更 便 捷 的 服 互 联 网 就 像 空 气 ， 彻 底 的 融 入 我 们 的 生 活 之 中 。 因 此 我 们 愈 发 习 惯 把 越 来 越 多 的 数 据 保 存 在 网 上 以 换 取 更 便 捷 的 服 务 。 不 过 ， 随 之 而 来 的 安 全 事 件 无 不 让 人 触 目 惊 心 。 务 。 不 过 ， 随 之 而 来 的 安 全 事 件 无 不 让 人 触 目 惊 心 。 回 忆 2 0 1 5 年 整 年 发 生 的 数 据 泄 露 事 件 ， 2 0 1 5 年 一 月 机 锋 论 坛 包 括 用 户 名 、 邮 箱 、 加 密 密 码 的 2 3 0 0 万 用 户 信 息 泄 漏 。 随 后 国 内 1 0 多 家 酒 店 大 量 客 户 开 房 信 息 泄 漏 、 中 国 广 东 人 寿 1 0 W 保 单 泄 漏 、 大 麦 网 6 0 0 万 用 户 信 息 和 网 易 邮 箱 过 亿 用 户 信 息 泄 漏 … … 一 连 串 的 信 息 泄 漏 事 件 无 不 令 人 提 心 吊 胆 。 覆 巢 之 下 安 有 完 卵 ， 全 球 第 二 大 比 特 币 交 易 网 站 B i t s t a m p 遭 到 黑 客 入 侵 ， 新 型 银 行 木 马 E m o t e t 盗 取 德 国 国 民 网 银 证 书 ， 就 连 一 直 以 安 全 著 称 的 瑞 士 银 行 在 互 联 网 的 世 界 也 难 逃 被 黑 客 入 侵 的 噩 梦 。 数 据 库 漏 洞 研 究 起 源 数 据 库 漏 洞 研 究 起 源 大 数 据 时 代 的 来 临 ， 各 个 行 业 数 据 量 成   B T   级 增 长 。   数 据 库 被 广 泛 使 用 在 各 种 新 的 场 景 中 ， 在 某 些 场 景 下 面 临 的 安 全 威 胁 是 数 据 库 现 有 安 全 机 制 无 法 防 护 的 。 可 以 看 到 的 是 ： 数 据 库 的 优 良 性 能 和 落 后 的 安 全 机 制 成 为 鲜 明 的 对 比 。 虽 然 数 据 库 安 全 设 计 最 初 是 按 照 美 国 国 防 部 的 标 准 制 定 而 成 ， 不 过 那 些 安 全 标 准 与 现 实 安 全 的 意 义 有 着 很 大 的 差 别 。 纵 然 大 部 分 商 用 数 据 库 都 通 过 了 安 全 标 准 检 验 ， 但 随 着 功 能 的 开 发 和 部 署 在 危 险 的 网 络 环 境 中 ， 安 全 短 板 就 成 为 其 “ 阿 克 琉 斯 之 踵 ” 。 1 9 9 6 年 开 始 数 据 库 安 全 进 入 安 全 团 队 视 野 ， 同 年 4 月 份 O r a c l e 被 披 露 出 第 一 个 安 全 漏 洞 开 始 ， 随 着 新 版 本 和 新 功 能 的 出 现 漏 洞 呈 震 荡 增 长 趋 势 。 2 0 1 4 年 当 年 被 披 露 的 各 大 数 据 库 漏 洞 高 达 1 2 9 个 。 图   1 . 1   2 0 1 1 - 2 0 1 5 主 流 数 据 库 漏 洞 数 量 今 年 截 止 到 2 0 1 5   年 1 2   月 份 初 被 确 认 数 据 库 漏 洞 一 共   7 6 个 ， 比 2 0 1 4 年 下 降 了   5 3   个 ， 减 幅 达 到 4 1 % 。 这 与 各 大 数 据 库 公 司 开 发 自 己 的 代 码 审 计 工 具 有 着 密 不 可 分 的 联 系 。 2 0 1 5 年 漏 洞 分 布 年 漏 洞 分 布
图   1 . 2   2 0 1 5 年 数 据 库 漏 洞 分 布 今 年 曝 出 的 7 6 个 数 据 库 漏 洞 中 ， M y S Q L 漏 洞 数 占 据 全 年 漏 洞 总 数 的 6 2 % ， 共 计 4 7 个 。 漏 洞 主 要 集 中 在 5 . 5   和 5 . 6   这 两 个 主 流 版 本 中 。 安 华 金 和 数 据 库 安 全 攻 防 实 验 室 通 过 分 析 发 现 M y S Q L   的 4 7   个 漏 洞 散 落 在 1 2 个 M y S Q L   组 件 和 一 个 未 知 组 件 上 。 众 所 周 知 M y S Q L   是 一 款 易 拆 合 的 轻 量 级 数 据 库 ， 因 此 1 2   个 组 件 中 有 很 多 是 非 必 备 组 件 。 举 个 例 子 来 说 i n n o D B 存 在 的 6   个 漏 洞 ， 如 果 您 的 业 务 不 需 要   i n n o D B , 则 建 议 禁 止 i n n o D B 的 使 用 。 图   1 . 3   M y S Q L 漏 洞 分 布 组 件 因 此 ， 我 们 建 议 使 用   M y S Q L   的 公 司 、 团 体 和 个 人 及 时 对 自 己 的   M y S Q L   数 据 库 进 行 补 丁 升 级 。 有 研 发 能 力 的 单 位 最 好 对 M y S Q L 源 码 进 行 审 计 ， 修 复 其 中 的 问 题 。 关 闭 与 自 己 业 务 无 关 的 组 件 ， 编 译 出 适 合 自 己 应 用 需 求 的 定 制 化 M y S Q L 。 同 样 O r a c l e 数 据 库 也 被 爆 出   1 4   个 漏 洞 ， 位 居 其 次 。 这 些 漏 洞 集 中 于   j a v a   v m 、 X D B   和 C o r e   R D B M S 中 。 C o r e   R D B M S   是 O r a c l e 数 据 库 的 最 核 心 组 件 ， 在   w i n d o w s 下 以 一 个 O r a c l e . e x e 进 程 出 现 ， 而 L i n u x 下 则 是 分 成 多 个 进 程 ， 这 些 进 程 负 责 着 不 同 的 功 能 ， 以 此 保 证   O r a c l e   数 据 库 的 正 常 运 行 。
J a v a   V M 是 j a v a   虚 拟 机 负 责 运 行   O r a c l e 中 的 J a v a   代 码 ， 例 如   O r a c l e 图 形 化 安 装 程 序 。   X D B   的 漏 洞 往 往 来 自 于   X D B ，   是 负 责 处 理   X M L   的 组 件 。   X D B   有 2   个 对 外 端 口 是 H T T P 和   F T P 。 这 2 个 端 口 经 常 会 给 数 据 库 带 来 缓 冲 区 溢 出 漏 洞 — 一 种 无 需 身 份 验 证 的 高 危 漏 洞 。 图   1 . 4   O r a c l e 漏 洞 分 布 组 件 不 过 O r a c l e 数 据 库 漏 洞 常 年 居 高 不 下 与 其 自 身 复 杂 的 逻 辑 密 不 可 分 。 图   1 . 5   2 0 1 5 年 数 据 库 漏 洞 — 按 厂 商 分 类 2 0 1 5 年 O r a c l e 漏 洞 数 占 了 总 漏 洞 数 的 8 3 % 。 这 与 它 旗 下 两 款 数 据 库 占 据 的 市 场 份 额 和 支 持 的 功 能 复 杂 度 有 着 密 切 关 系 。 我 们 应 该 知 道 ， 各 厂 商 产 品 的 漏 洞 数 量 不 仅 与 产 品 自 身 的 安 全 性 有 关 ， 而 且 也 和 厂 商 的 产 品 数 量 、 产 品 的 复 杂 度 、 受 研 究 者 关 注 程 度 等 多 种 因 素 有 关 。 因 此 ， 我 们 不 能 简 单 地 认 为 公 开 漏 洞 数 量 越 多 的 厂 商 产 品 越 不 安 全 。 其 实   O r a c l e 无 论 是 性 能 还 是 安 全 性 在 同 业 者 中 都 处 于 前 列 。 2 0 1 5 年 数 据 库 漏 洞 威 胁 类 型 年 数 据 库 漏 洞 威 胁 类 型
将 漏 洞 按 照 其 危 害 程 度 分 为 ： 高 危 漏 洞 ， 中 危 漏 洞 ， 低 危 漏 洞 三 大 类 。 2 0 1 5 年 7 大 主 流 数 据 库 中 均 存 在 高 危 漏 洞 。 图   1 . 6   2 0 1 5 年 数 据 库 漏 洞 — 按 威 胁 程 度 分 类 其 中 高 危 漏 洞 占 漏 洞 总 数 的 1 2 % ， 中 危 漏 洞 数 量 最 多 占 据 了 5 8 % ， 低 威 胁 漏 洞 占 3 0 % 。 图   1 . 7   威 胁 等 级 比 例 1 2 % 的 高 危 漏 洞 将 是 安 华 金 和 关 注 的 重 点 。 因 此 建 议 ： 高 危 漏 洞 必 须 及 时 处 理 。 在 某 些 特 定 情 况 下 低 危 、 中 危 漏 洞 也 会 达 到 高 危 漏 洞 的 危 害 程 度 ， 所 以 对 于 低 危 漏 洞 也 要 及 时 修 复 。 2 0 1 5 年 数 据 库 漏 洞 利 用 趋 势 年 数 据 库 漏 洞 利 用 趋 势 数 据 库 安 全 发 展 到 现 在 ， 绕 过 身 份 验 证 依 旧 是 对 数 据 库 安 全 最 大 的 威 胁 。 今 年 的   9 个 高 危 漏 洞 中 的   3   个 是 针 对 身 份 验 证 绕 过 的 。 它 们 分 别 采 用 的 是 缓 冲 区 溢 出 、 通 讯 协 议 破 解 和 默 认 口 令 三 张 种 方 式 。 虽 然 缓 冲 区 溢 出 和 通 讯 协 议 破 解 的 漏 洞 越 来 越 少 ， 一 旦 出 现 将 是 数 据 库 的 噩 梦 。 2 0 1 5 年 S Q L   注 入 依 旧 是 漏 洞 中 的 主 流 ， 8 0 % 以 上 的 漏 洞 都 属 于 S Q L 注 入 范 畴 ， 利 用 数 据 库 系 统   S Q L   语 言 漏 洞 ， 通 过 对 低 权 限 用 户 进 行 升 级 权 限 来 获 取 更 多 数 据 库 内 的 敏 感 信 息 。 作 为 数 据 库 管 理 员 应 严 格 分 配 用 户 权 限 ， 防 止 分 配 给 用 户 过 高 权
限 ， 对 非 必 要 服 务 请 进 行 禁 用 或 卸 载 ， 防 止 其 中 存 在 的 漏 洞 被 黑 客 利 用 ， 对 数 据 库 造 成 入 侵 。 2 0 1 6 年 数 据 库 安 全 建 议 年 数 据 库 安 全 建 议 面 对 日 益 严 峻 的 数 据 库 安 全 形 式 ， 数 据 库 加 固 应 该 从 三 个 方 面 进 行 ： 严 格 限 制 弱 口 令 、 及 时 排 出 配 置 问 题 、 定 期 升 级 补 ： 严 格 限 制 弱 口 令 、 及 时 排 出 配 置 问 题 、 定 期 升 级 补 丁 。 丁 。 也 可 以 从 时 间 节 点 上 划 分 为 三 个 阶 段 ： 入 侵 前 的 检 查 防 护 ， 事 中 的 防 御 阻 断 ， 入 侵 事 后 审 计 追 踪 。 入 侵 前 的 检 查 防 护 ， 事 中 的 防 御 阻 断 ， 入 侵 事 后 审 计 追 踪 。 事 前 防 护 阶 段 的 重 点 在 于 排 查 ， 定 期 对 整 个 网 络 环 境 进 行 弱 点 扫 描 ， 网 络 中 任 何 一 点 的 漏 洞 都 可 能 导 致 最 后 的 数 据 泄 露 。 可 以 定 期 请 专 人 对 整 个 网 络 做 渗 透 测 试 ， 同 时 通 过 数 据 库 漏 洞 扫 描 器 等 相 关 产 品 对 整 个 环 境 进 行 安 全 检 查 。 在 事 中 阻 断 防 御 时 ， 防 御 的 重 点 在 于 准 确 判 断 哪 些 语 句 属 于 入 侵 语 句 。 推 荐 在   W e b   前 端 部 署   W A F   来 解 决 大 部 分 针 对   W e b 的 入 侵 行 为 ， 同 时 数 据 库 前 部 署 专 业 的 数 据 库 防 火 墙 。 在 事 后 通 过 对 用 户 访 问 数 据 库 行 为 的 记 录 、 审 计 分 析 ， 帮 助 用 户 事 后 进 行 数 据 泄 密 行 为 的 追 根 溯 源 ， 提 高 数 据 资 产 安 全 。 结 束 语 结 束 语 回 顾 近 年 来 对 数 据 库 漏 洞 的 研 究 ， 我 们 发 现 任 何 一 款 数 据 库 漏 洞 的 出 现 和 防 治 都 会 遵 循 某 些 特 定 的 规 律 。 虽 然 每 年 漏 洞 出 现 的 数 量 并 非 稳 定 下 降 ， 但 数 据 库 自 身 出 现 漏 洞 的 几 率 越 来 越 低 。 漏 洞 数 量 不 能 稳 定 下 降 主 要 有 两 方 面 的 原 因 ： 1 . 很 多 数 据 库 为 了 方 便 用 户 扩 展 了 大 量 接 口 和 功 能 ， 新 功 能 在 最 初 的 版 本 总 是 受 到 自 身 漏 洞 和 兼 容 性 漏 洞 的 双 重 困 扰 。 2 . 黑 客 利 用 漏 洞 的 能 力 越 来 越 强 ， 以 前 很 多 被 发 现 的 漏 洞 其 实 是 无 法 被 利 用 的 ， 黑 客 逐 渐 把 其 中 一 些 无 法 利 用 的 漏 洞 变 成 可 利 用 。 同 时 黑 客 也 会 特 别 关 注 与 某 些 行 业 ， 数 据 库 漏 洞 攻 击 往 往 也 集 中 在 这 些 行 业 领 域 。 最 后 ， 也 是 最 重 要 的 ， 大 部 分 数 据 库 漏 洞 攻 击 者 依 然 是 以 获 利 为 目 的 。 数 据 库 跟 随 业 务 逐 渐 从 后 台 走 向 前 台 ； 从 内 外 走 向 外 网 ； 从 实 体 走 向 虚 拟 （ 云 ） 。 部 署 环 境 的 发 展 给 了 黑 客 更 多 入 侵 数 据 库 的 机 会 。 完 整 报 告 链 接 （ 完 整 报 告 链 接 （ P D F ） ， 请 点 击 阅 读 原 文 ） ， 请 点 击 阅 读 原 文 * 作 者 ： 安 华 金 和 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理