针对数据库的许多黑客行为之所以发生，是因为与这些数据库连接的Web应用程序存在着漏洞。然而，企业越来越多地将最有价值的数据暴露给外部应用程序。在本文中，我们将讨论安全团队、数据库管理员和应用程序开发人员如何协同工作，从而改善前端Web应用程序和后端数据库的防御，防止恶意攻击，并关注最常见的源自Web的数据库攻击。
- 添加新评论
- 阅读次数：
估计其他ERP软件里也不少类似的东西，有兴趣的同学可以跟一下。转载开始。
这个漏洞在K3 各个版本都存在并且一样，包括新发版的K3 V12的3个版本。主要数据安全漏洞描述如下：
最大的安全漏洞在K3login.dll这个控件上，,它能明文显示K3 ERP数据库的密码等信息，这是非常危险的，简单VB6.0代码如下：
Dim k3lg As New k3Login.ClsLogin
If k3lg.CheckLogin Then ’如果成功登录，执行下面语句
...
- 添加新评论
- 阅读次数：
当我们对数据库优化诊断时，需要收集相应的信息以供参考，从个人的使用经验来说，这种统计数据分为两大类
一类是数据库级别的统计信息
二类是os级别的统计信息
下面就分别介绍在不同的级别下，常用什么工具来收集信息帮助优化诊断
首先是oracle数据库级别优化分析工具介绍
目录：
1.statspack
2.ASH
3.AWR
4.ORACLE EXPLAIN PLAN的总结(查询sql的执行计划)
...
- 添加新评论
- 阅读次数：
通过数据链接(Database Link)，从Oracle 9i 连接 SQL Server 2000(实例)
从Oracle 9i连接SQL Server2000，需要用透明网关(Transparent Gateway)，通过它，我们可以 sqlplus 操纵其他数据库，如 ms sqlserver 、 sybase 、 infomix 等，实现数据库的异构服务。
在Oracle 8i中没有透明网关，9i自带，但是默认不安装。
...
- 添加新评论
- 阅读次数：
Oracle的销售在向客户兜售其数据库系统一直把它吹捧为牢不可破的，耍嘴皮子容易，兑现起来可就不那么容易了。不管什么计算机系统，人们总能够找到攻击它的方法，Oracle也不例外。本文将和大家从黑客的角度讨论黑客是用哪些方法把黑手伸向了你原以为他们不能触及的数据，希望作为Oracle的数据库管理员能够清楚的阐明自己基础架构的哪些区域比较容易受到攻击。同时我们也会讨论保护系统防范攻击的方法。
1.SQL注入攻击
如今大部分的Oracle数据库都具有为某种类型网络应用服务的后端数据存储区，网页应用使数据库更容易成为我们的攻击目标体现在三个方面。其一，这些应用界面非常复杂，具有多个组成成分，使数据库管理员难以对它们进行彻底检查。其二，阻止程序员侵入的屏障很低，即便不是C语言的编程专家，也能够对一些页面进行攻击。下面我们会简单地解释为什么这对我们这么重要。第三个原因是优先级的问题。网页应用一直处于发展的模式，所以他们在不断变化，推陈出新。这样安全问题就不是一个必须优先考虑的问题。
...
- 添加新评论
- 阅读次数：
经常会遇到一个问题是：在ORACLE中，状态已被置为"killed"的进程长时间锁定系统资源，不释放，有一个比重启数据库更好的方法，就是在操作系统级强行杀掉那些进程。
1.下面的语句用来查询哪些对象被锁：
col object_name for a30
col machine for a20
select object_name,machine,s.sid,s.serial#
from v$locked_object l,dba_objects o ,v$session s
...
- 添加新评论
- 阅读次数：
当使用SQL注入access的时候，经常会遇到密码为中文、猜不到关键字段名这样的问题。使用本技术就能够很快速的解决这样的问题。本技术最低要求有两条：
1.使用access数据库的系统存在SQL注入漏洞；mssql数据库也支持这个技术
2.需要知道欲爆数据所在的表的表名以及这个表下的一个字段名，一般都是id字段
使用本技术显而易见的优势在于：
1.可以不需要引号，过滤引号对本技术没有影响
2.可以快速的知道敏感数据的内容，而不必像以往一样慢慢的猜解，中文、特殊字符等等都通杀
...
- 添加新评论
- 阅读次数：
最近遇到一个使用了oracle数据库的服务器,在狂学oracle+请教高手后终于搞到了网站后台管理界面的所有用户密码,我发现oracle操作起来真是太麻烦,为了兄弟们以后少走些弯路,我把入侵当中必需的命令整理出来,一个星期的心血,版权所有,转载请注明作者.
1、su – oracle 不是必需，适合于没有DBA密码时使用，可以不用密码来进入sqlplus界面。
2、sqlplus /nolog 或sqlplus system/manager 或./sqlplus system/manager@ora9i;
...
- 添加新评论
- 阅读次数：
有没access也可以抓取的？
各种数据库密码hash获取语句，也可以直接使用sqlmap这个注入工具！
SQLServer2000：-
SELECTpasswordfrommaster。dbo。sysxloginswherename='sa'
0×010034767D5C0CFA5FDCA28C4A56085E65E882E71CB0ED250341
...- 添加新评论
- 阅读次数：
