淺談網(wǎng)站開發(fā)中數(shù)據(jù)庫安全問題發(fā)布者：本站     時(shí)間：2020-05-05 12:05:31

從開發(fā)風(fēng)險(xiǎn)來看, 主要存在的風(fēng)險(xiǎn)有:數(shù)據(jù)登錄風(fēng)險(xiǎn)、結(jié)構(gòu)安全問題以及服務(wù)器地址設(shè)計(jì)問題, 針對這些問題, 筆者對網(wǎng)站設(shè)計(jì)過程以及設(shè)計(jì)人員應(yīng)該擔(dān)負(fù)的職責(zé)進(jìn)行了一定程度的明晰, 希望能夠?qū)W(wǎng)站開發(fā)實(shí)踐有一定的指導(dǎo)作用, 使得網(wǎng)站開發(fā)更為穩(wěn)妥和安全。

1 網(wǎng)站數(shù)據(jù)庫安全問題分析

1.1 數(shù)據(jù)登錄隱患

數(shù)據(jù)庫對于電子商務(wù)網(wǎng)站而言, 含有大量數(shù)據(jù)和信息, 是網(wǎng)站的核心, 在網(wǎng)站開發(fā)過程中, 常常對數(shù)據(jù)庫的數(shù)據(jù)信息形成一定程度的威脅, 使其陷入泄露的危機(jī)。數(shù)據(jù)登錄問題, 其產(chǎn)生是由于在網(wǎng)站開發(fā)時(shí), 技術(shù)人員需要登錄, 在技術(shù)人員第一次經(jīng)過系統(tǒng)驗(yàn)證登錄后, 再次訪問之時(shí), 便會出現(xiàn)系統(tǒng)默認(rèn)賬號, 也就是說, 技術(shù)人員登錄網(wǎng)站后, 由于系統(tǒng)對其賬號沒有進(jìn)行處理, 實(shí)際是可以在之后的時(shí)間里自由登錄系統(tǒng)的, 這種漏洞就會導(dǎo)致在公司內(nèi)部賬號之外, 由于網(wǎng)站開發(fā)過程中的登錄行為, 出現(xiàn)了一個(gè)“超級用戶”, 能夠自由進(jìn)入數(shù)據(jù)庫, 瀏覽其中的信息和數(shù)據(jù), 在開發(fā)網(wǎng)站發(fā)布之后, 網(wǎng)站登錄便存在著極大的隱患。電子商務(wù)網(wǎng)站開發(fā)時(shí), 技術(shù)人員登錄系統(tǒng)對其進(jìn)行開發(fā)和修改, 由于這種登錄是為了便于技術(shù)人員的操作, 因此對于這些賬號的限制極少, 亦即權(quán)限極大, 這種情況之下, 為了便利, 許多公司對于該賬號都沒有進(jìn)行處理, 系統(tǒng)也不會識別此賬號與內(nèi)部賬戶的區(qū)別, 因此開發(fā)完成后, 導(dǎo)致數(shù)據(jù)登錄出現(xiàn)隱患和風(fēng)險(xiǎn)。

1.2 數(shù)據(jù)庫結(jié)構(gòu)安全問題

數(shù)據(jù)庫結(jié)構(gòu)安全, 也就是在數(shù)據(jù)庫的設(shè)計(jì)時(shí), 對于其結(jié)構(gòu)沒有充分進(jìn)行各種因素的考慮, 數(shù)據(jù)庫的安全存在風(fēng)險(xiǎn), 這種設(shè)計(jì)不科學(xué)所導(dǎo)致的系統(tǒng)缺漏使得數(shù)據(jù)庫的數(shù)據(jù)極容易遭到盜竊。且由于數(shù)據(jù)表的重命名設(shè)計(jì)時(shí), 如果技術(shù)人員未利用組合對其進(jìn)行前后綴處理, 則重命名無法得到遏制, 即系統(tǒng)無法識別重命名, 從而系統(tǒng)數(shù)據(jù)存在著諸多風(fēng)險(xiǎn)。且對于數(shù)據(jù)字段來說, 由于密碼字段的認(rèn)證以及設(shè)置等在網(wǎng)站開發(fā)中沒有考慮到, 而導(dǎo)致存在一定威脅。在網(wǎng)站開發(fā)過程中, 后臺系統(tǒng)的管理安全也是一項(xiàng)嚴(yán)重的風(fēng)險(xiǎn)問題, 由于實(shí)際開發(fā)過程中, 一些技術(shù)人員對于后臺管理的設(shè)計(jì)本身存在問題, 導(dǎo)致在登錄系統(tǒng)時(shí), 可能出現(xiàn)安全屏障, 或者瀏覽權(quán)限錯(cuò)位等問題, 使得系統(tǒng)安全性保障降低。且一些技術(shù)人員在開發(fā)時(shí), 進(jìn)入系統(tǒng)的賬號被人破解, 從而導(dǎo)致系統(tǒng)數(shù)據(jù)泄露。且由于開發(fā)時(shí)登錄界面的不合理設(shè)置, 導(dǎo)致身份驗(yàn)證環(huán)境出現(xiàn)問題, 這種問題不僅給內(nèi)部人員的正常工作帶來困擾, 更加容易導(dǎo)致系統(tǒng)資料因?yàn)橥獠壳秩攵霈F(xiàn)問題。

1.3 服務(wù)器地址設(shè)計(jì)

在網(wǎng)站開發(fā)過程中, 服務(wù)器地址設(shè)計(jì)是較為重要的一項(xiàng)工作, 在此項(xiàng)工作中, 如果設(shè)計(jì)人員不重視或者設(shè)計(jì)過程中出現(xiàn)失誤等情況, 則會導(dǎo)致服務(wù)器地址設(shè)計(jì)陷入麻煩。服務(wù)器地址設(shè)計(jì)關(guān)乎著網(wǎng)站安全, 一般來說, 數(shù)據(jù)庫與用戶的連接出現(xiàn)問題是數(shù)據(jù)庫受到數(shù)據(jù)泄露威脅的主要原因, 但是, 如果設(shè)計(jì)人員在源代碼的編寫時(shí)出現(xiàn)紕漏, 則整個(gè)網(wǎng)站也會陷入風(fēng)險(xiǎn)。服務(wù)器地址設(shè)計(jì)關(guān)乎著服務(wù)器是否會受到攻擊以及攻擊力度和自身防御機(jī)制, 如果服務(wù)器地址的設(shè)計(jì)出現(xiàn)問題, 導(dǎo)致服務(wù)器的地址本身存在問題, 則整個(gè)網(wǎng)站的運(yùn)行會受到極大限制, 在被攻擊時(shí), 也更容易崩潰。注入泄露問題, 在網(wǎng)站開發(fā)過程中, 由于SQL的注入出現(xiàn)漏洞, 導(dǎo)致整個(gè)網(wǎng)站本身處于一種不穩(wěn)定的狀態(tài), 其安全性以及運(yùn)行質(zhì)量均會大打折扣, 在這樣的情況下, 如果黑客對網(wǎng)站進(jìn)行攻擊, 則本身便存在缺陷的網(wǎng)站自身防御能力低, 在黑客攻擊之下很容易被攻破, 此時(shí)網(wǎng)站的數(shù)據(jù)便會被盜取, 這種情況下, 網(wǎng)站的工作會受到極大的影響, 開發(fā)質(zhì)量也會大幅降低。

2 網(wǎng)站開發(fā)數(shù)據(jù)庫安全問題的解決

2.1 特殊賬號管理

在網(wǎng)站開發(fā)過程中, 技術(shù)人員必須重視數(shù)據(jù)庫的安全, 并通過實(shí)際開發(fā)過程中的保護(hù)措施來實(shí)現(xiàn)這種安全保障, 以免因?yàn)殚_發(fā)過程而導(dǎo)致數(shù)據(jù)庫存在風(fēng)險(xiǎn)。在開發(fā)過程中, 由于技術(shù)人員擁有特殊登錄權(quán)限, 因此必須對其建立特殊賬戶, 做好登錄安全保護(hù)工作。例如:建立重點(diǎn)賬戶a, 超級賬戶與其享有同樣的權(quán)限, 但是賬戶a由于安全性能較低, 因此在對其設(shè)計(jì)時(shí), 需要重點(diǎn)設(shè)置, 通過賬戶a的設(shè)置來模擬超級用戶, 并對其權(quán)限和登錄進(jìn)行限制和監(jiān)控, 尤其是對其密碼, 需要設(shè)置較為繁瑣的密碼, 防止被人破解而出現(xiàn)資料和數(shù)據(jù)泄露。數(shù)據(jù)庫重命名工作也需要得到關(guān)注, 即對于一些目錄、數(shù)據(jù)表進(jìn)行重命名時(shí), 需要對其前后綴進(jìn)行限制, 防止以簡單的賬戶或者密碼命名的事件, 同時(shí)還要設(shè)置非法訪問阻止, 即重命名需要一定的權(quán)限, 如再次輸入密碼等措施, 總之需要進(jìn)一步驗(yàn)證。數(shù)據(jù)庫的安全需要在開發(fā)過程中予以考慮, 否則開發(fā)完成后便會出現(xiàn)許多預(yù)想不到的數(shù)據(jù)庫安全問題。進(jìn)行特殊的賬號管理是針對登錄風(fēng)險(xiǎn)所做出的應(yīng)對。

2.2 完善后臺數(shù)據(jù)庫管理

后臺數(shù)據(jù)庫管理, 在網(wǎng)站開發(fā)過程中必須要進(jìn)行此項(xiàng)工作, 只有這樣才能避免開發(fā)中的許多風(fēng)險(xiǎn)問題。首先, 賬號和密碼的設(shè)計(jì)需要較為復(fù)雜, 防止簡單密碼設(shè)置遭到破解。其次, 技術(shù)人員需要對用戶權(quán)限進(jìn)行設(shè)置, 由于網(wǎng)站開發(fā)中如果未設(shè)置權(quán)限, 會導(dǎo)致后期網(wǎng)站運(yùn)行時(shí)存在諸多驗(yàn)證問題以及權(quán)限錯(cuò)亂的情況, 因此, 技術(shù)人員需要對權(quán)限進(jìn)行設(shè)置, 例如Session, 對每個(gè)頁面進(jìn)行驗(yàn)證, 對用戶權(quán)限進(jìn)行不同的變量標(biāo)志設(shè)置, 全面進(jìn)行管理。開發(fā)人員不適用特殊賬號, 其賬號設(shè)計(jì)與網(wǎng)站內(nèi)部人員的密碼設(shè)置一樣利用字符連串性強(qiáng)調(diào)保密。數(shù)據(jù)庫的結(jié)構(gòu)安全需要得到技術(shù)人員的重視, 重命名問題上文已經(jīng)提到了解決辦法, 此處不加贅述, 對于網(wǎng)站結(jié)構(gòu)來說, 需要盡量避免與網(wǎng)站常規(guī)操作不一致的操作在開發(fā)中出現(xiàn), 以免成為后期漏洞, 在開發(fā)設(shè)計(jì)時(shí), 便對技術(shù)人員納入網(wǎng)站結(jié)構(gòu)之中, 防止特殊結(jié)構(gòu)的出現(xiàn)。技術(shù)人員在進(jìn)行設(shè)計(jì)時(shí), 必須考慮到網(wǎng)站結(jié)構(gòu)問題, 盡量不要貪圖一時(shí)的快捷, 需要將網(wǎng)站數(shù)據(jù)和整體結(jié)構(gòu)的安全放在第一位。

2.3 存儲驗(yàn)證輸入

注入漏洞需要技術(shù)人員采取一定措施加以防范和處理, 首先需要進(jìn)行權(quán)限劃分, 普通用戶與管理員需要進(jìn)行不同的權(quán)限認(rèn)定, 在普通用戶的訪問出現(xiàn)異常時(shí), 可以對用戶進(jìn)行追蹤或者直接刪除處理, 反正惡意訪問和攻擊。其次需要用戶驗(yàn)證工作的進(jìn)一步設(shè)定, 由于驗(yàn)證輸入工作需要進(jìn)行字符的合理測試變量, 不能出現(xiàn)二進(jìn)制數(shù)據(jù)庫現(xiàn)象, 這種驗(yàn)證系統(tǒng)的設(shè)計(jì)需要設(shè)計(jì)人員認(rèn)真操作, 予以重視, 在現(xiàn)代社會, 驗(yàn)證系統(tǒng)趨向更加完整和智能, 驗(yàn)證內(nèi)容具有延展性, 因此, 技術(shù)人員需要注意提升驗(yàn)證內(nèi)容的科學(xué)性