什么是mdb數(shù)據(jù)庫(kù)呢?凡是有點(diǎn)制作網(wǎng)站經(jīng)驗(yàn)的網(wǎng)絡(luò)管理員都知道，目前使用“IIS+ASP+ACCESS”這套組合方式建立網(wǎng)站是最流行的，大多數(shù)中小型Internet網(wǎng)站都使用該“套餐”，但隨之而來的安全問題也日益顯著。其中最容易被攻擊者利用的莫過于mdb數(shù)據(jù)庫(kù)被非法下載了。

　　什么是mdb數(shù)據(jù)庫(kù)呢?凡是有點(diǎn)制作網(wǎng)站經(jīng)驗(yàn)的網(wǎng)絡(luò)管理員都知道，目前使用“IIS+ASP+ACCESS”這套組合方式建立網(wǎng)站是最流行的，大多數(shù)中小型Internet網(wǎng)站都使用該“套餐”，但隨之而來的安全問題也日益顯著。其中最容易被攻擊者利用的莫過于mdb數(shù)據(jù)庫(kù)被非法下載了。

　　mdb數(shù)據(jù)庫(kù)是沒有安全防范的，只要入侵者猜測(cè)或者掃描到mdb數(shù)據(jù)庫(kù)的路徑后就可以使用下載工具輕松將其下載到本地硬盤，再結(jié)合暴力破解工具或一些超級(jí)破解工具可以輕松的查看里頭的數(shù)據(jù)庫(kù)文件內(nèi)容，企業(yè)的隱私和員工的密碼從此不在安全。難道我們就沒有辦法加強(qiáng)mdb數(shù)據(jù)庫(kù)的安全嗎?難道即便我們只有一點(diǎn)點(diǎn)數(shù)據(jù)資料也要麻煩sqlserver或者oracle嗎?答案是否定的，本篇文章筆者將告訴大家打造安全的mdb數(shù)據(jù)庫(kù)文件的獨(dú)門秘訣。

　　一、危機(jī)起因：

　　二、常用的補(bǔ)救方法：

　　目前常用的數(shù)據(jù)庫(kù)文件防止被非法下載的方法有以下幾種。

　　(1)把數(shù)據(jù)庫(kù)的名字進(jìn)行修改，并且放到很深的目錄下面。比如把數(shù)據(jù)庫(kù)名修改為Sj6gf5.mdb，放到多級(jí)目錄中，這樣攻擊者想簡(jiǎn)單地猜測(cè)數(shù)據(jù)庫(kù)的位置就很困難了。當(dāng)然這樣做的弊端就是如果ASP代碼文件泄漏，那無(wú)論隱藏多深都沒有用了。

　　(2)把數(shù)據(jù)庫(kù)的擴(kuò)展名修改為ASP或者ASA等不影響數(shù)據(jù)查詢的名字。但是有時(shí)候修改為ASP或者ASA以后仍然可以被下載，比如我們將其修改為ASP以后，直接在IE的地址欄里輸入網(wǎng)絡(luò)地址，雖然沒有提示下載但是卻在瀏覽器里出現(xiàn)了一大片亂碼。如果使用FlashGet或影音傳送帶等專業(yè)的下載工具就可以直接把數(shù)據(jù)庫(kù)文件下載下來。不過這種方法有一定的盲目性，畢竟入侵者不能確保該文件就一定是MDB數(shù)據(jù)庫(kù)文件修改擴(kuò)展名的文件，但是對(duì)于那些有充足精力和時(shí)間的入侵者來說，可以將所有文件下載并全部修改擴(kuò)展名來猜測(cè)。該方法的防范級(jí)別將大大降低。

　　三、筆者的旁門左道：

　　在筆者的測(cè)試過程中就遇到了ASP和ASA文件也會(huì)被下載的問題，所以經(jīng)過研究發(fā)現(xiàn)了以下的方法。

　　如果在給數(shù)據(jù)庫(kù)的文件命名的時(shí)候，將數(shù)據(jù)庫(kù)文件命名為“#admin.asa”則可以完全避免用IE下載，但是如果破壞者猜測(cè)到了數(shù)據(jù)庫(kù)的路徑，用FlashGet還是可以成功地下載下來，然后把下載后的文件改名為“admin.mdb”，則網(wǎng)站秘密就將暴露。所以我們需要找到一種FlashGet無(wú)法下載的方法，但是如何才能讓他無(wú)法下載呢?大概是因?yàn)橐郧笆艿絬nicode漏洞攻擊的緣故，網(wǎng)站在處理包含unicode碼的鏈接的時(shí)候?qū)?huì)不予處理。所以我們可以利用unicode編碼(比如可以利用“%3C”代替“<”等)，來達(dá)到我們的目的。而FlashGet在處理包含unicode碼的鏈接的時(shí)候卻“自作聰明”地把unicode編碼做了對(duì)應(yīng)的處理，比如自動(dòng)把“%29”這一段unicode編碼形式的字符轉(zhuǎn)化成了“(”，所以你向FlashGet提交一個(gè)http://127.0.0.1/xweb/data/%29xadminsxx.mdb的下載鏈接，它卻解釋成了http://127.0.0.1/xweb/data/(xadminsxx.mdb，看看我們上面的網(wǎng)址的地方和下面的重命名的地方是不同的，F(xiàn)lashGet把“%29xadminsxx.mdb”解釋為了“(xadminsxx.mdb”，當(dāng)我們單擊“確定”按鈕進(jìn)行下載的時(shí)候，它就去尋找一個(gè)名為“(xadminsxx.mdb”的文件。也就是說FlashGet給我們引入了歧途，它當(dāng)然找不到，所以提示失敗了。