黑客的选择：六大数据库攻击手段

核心提示： 口令破解工具有很多，并且通过Google搜索或sectools.org等站点就可以轻易地获得,这样就会连接到Cain 、 Abel或John the Ripper等流行的工具，黑客的选择：六大数据库攻击手段(3)，保护自己免受口令攻击的最佳方法：避免使用默认口令，建立强健的口令管理程序并对

口令破解工具有很多，并且通过Google搜索或sectools.org等站点就可以轻易地获得,这样就会连接到Cain 、 Abel或John the Ripper等流行的工具。

保护自己免受口令攻击的最佳方法：避免使用默认口令，建立强健的口令管理程序并对口令经常改变。

2.特权提升

有几种内部人员攻击的方法可以导致恶意的用户占有超过其应该具有的系统特权。而且外部的攻击者有时通过破坏操作系统而获得更高级别的特权。应用安全公司的销售副总裁Ted Julian说，“这是一种常见的威胁因素。”

特权提升通常更多地与错误的配置有关：一个用户被错误地授与了超过其实际需要用来完成工作的、对数据库及其相关应用程序的访问和特权。

Forrester的Yuhanna说，“这是一个控制问题。有时一个企业并没有提供哪些人员需要访问何种资源的良好框架结构,而且通常情况下，数据库管理员并没有从业务上理解企业的数据。这是问题之一。”

而且，有时一个内部的攻击者（或者一个已经控制了受害人机器的外部的家伙）可以轻松地从一个应用程序跳转到数据库，即使他并没有这个数据库的相关凭证也可以如此。Yuhanna 说，“一个非特权用户可以试着连接到数据库，只要他可以访问一个系统，如CRM，他就可以用同样的口令通过检查，即使他没有获得此数据库的授权。有些控制并没有实现很好的集中化。”

Sentrigo的Markovich近来能够通过一个拥有少量特权的用户账户攻入一个客户的数据库。Markovich说，“他们要求我攻入其数据库。我找到了一个少量特权的用户口令，然后就进入了系统。然后我检查了他的特权，他拥有对数据库的只读性访问，因此一个少量特权的用户可以访问读取数据库内的任何表，包括信用卡信息、个人信息。因此，我说：‘我不需要攻入数据库。’”