5個自我檢視資料庫之安全性的方法

資料竊取越來越普遍，黑市裡信用卡資料的價錢從2006年一筆10元變成2009年幾毛錢。客戶對於電子商務、網路銀行與其他電子商業活動失去信心。同時駭客竊取資料的方法也越來越聰明，造成越來越多企業成為他們的犧牲品。至2009年時法令與法規以更嚴格地保護消費者，但仍不斷發生新的事件。在Verizon Business Data Breach Investigations Report報告中，研究過去五年內的600個事件，其中SQL Injection是單一攻擊中獲取大量資料的手法。

這個結果並不令人驚訝!若設計網站應用程式的成員不瞭解SQL Injection攻擊時，是很容易發生的。

何謂SQL Injection?

SQL Injection 應稱為SQL 指令植入式攻擊，主要是屬於 Input Validation 的問題。中文翻譯為『資料隱碼』攻擊。SQL Injection 攻擊法並非植入電腦病毒，它是描述一個利用寫入特殊 SQL 程式碼攻擊應用程式的動作。換言之，只要提供給使用者輸入的介面，又沒有做到相當嚴密的輸入資料型態管制，就有可能會遭受這種行為的攻擊。

SQL Injection攻擊可能會對企業造成重大與昂貴的損失。攻擊的目標是資料庫，其中儲存了員工、客戶的資料。這類型的攻擊利用應用程式中的漏洞，操作從瀏覽器輸入的SQL查詢。 在SQL Injection攻擊中，惡意使用者可發送任意輸入至伺服器且假冒web應用程式產生與原先不同的SQL描述。

因此資料庫伺服器會執行並取得與原先不同的結果。SQL Injection攻擊是最常對資料庫獲得未經授權的存取與資料操作。

如果不確定自己的資料庫安不安全或有沒有被入侵成功建議可以按照以下的五個作法自行檢視。

1.查詢SQL Server系統內帳號資訊

如果不幸被SQL Injection 很有可能會被駭客偷偷新增一個sa權限的帳號，即便未來SQL Injection漏洞被修復了，駭客可能還是可以透過其他管道連到資料庫，等於變相開了一個洞給駭客使用，所以我們先來查詢資料庫裡的所有使用者，是否有異常帳號存在。

select * from sysusers

可在結果欄位按滑鼠右鍵選擇「儲存結果」，將檔案匯出進行分析。

2.檢視交易紀錄檔

Transaction 一觸發會建立一個暫時性 Log ，暫存性Log會記錄交易中，修改資料的過程和內容，在自我檢查時建議也可以利用 Transaction Log Viewer 工具看看交易記錄檔中是不是有些惡意的SQL 語法，去Google就可以找到類似的工具，不過都是要錢的，備份方式如下。

—UI資料庫備份

BACKUP DATABASE [Arcsight] TO  DISK = N'D:\Arcsight.bak' 

(請自行修改資料庫名稱及備份路徑)

—UI交易記錄檔備份

BACKUP LOG [Arcsight] TO DISK = N'D:\Arcsight.bak' WITH NO_TRUNCATE

(請自行修改資料庫名稱及備份路徑)

或可以使用SQL Server Management Studio 圖形介面中設定備份

選擇完整備份

備份完整備份後在選擇交易記錄備份

3.停用系統擴充預存程序

檢查是否有啟用xp_cmdshell

系統延伸預存程序是存儲在SQLServer中的預先寫好的SQL語句集合， 其中危險性最高的程序就是xp_cmdshell了，它可以執行操作系統的任何指令，如果被 SQL Injection 駭客就可透過 xp_cmdshell 取得整台電腦的控制權。

檢測語法：

SELECT * FROM sys.configurations WHERE [name]='xp_cmdshell' ORDER BY name 

如果value = 1代表有啟用

 -- 建議關閉 xp_cmdshell

    EXEC sp_configure 'show advanced options', 1;

    RECONFIGURE;

    EXEC sp_configure 'xp_cmdshell', 0;

    RECONFIGURE;

如果系統為SQL Server 2000

可將有安全性考量的SQL SP (shell、regtree、COM＋)刪除

use master

EXEC sp_dropextendedproc 'xp_cmdshell'

EXEC sp_dropextendedproc 'Sp_OACreate'

EXEC sp_dropextendedproc 'Sp_OADestroy'

EXEC sp_dropextendedproc 'Sp_OAGetErrorInfo'

EXEC sp_dropextendedproc 'Sp_OAGetProperty'

EXEC sp_dropextendedproc 'Sp_OAMethod'

EXEC sp_dropextendedproc 'Sp_OASetProperty'

EXEC sp_dropextendedproc 'Sp_OAStop'

EXEC sp_dropextendedproc 'Xp_regaddmultistring'

EXEC sp_dropextendedproc 'Xp_regdeletekey'

EXEC sp_dropextendedproc 'Xp_regdeletevalue'

EXEC sp_dropextendedproc 'Xp_regenumvalues'

EXEC sp_dropextendedproc 'Xp_regread'

EXEC sp_dropextendedproc 'Xp_regremovemultistring'

EXEC sp_dropextendedproc 'Xp_regwrite'

drop procedure sp_makewebtask

在 SQL Server 2008 和 SQL Server 2005 中，sp_dropextendedproc 不會卸除系統擴充預存程序。應該由系統管理員拒絕將擴充預存程序的 EXECUTE 權限授與 public 角色。但在 SQL Server 2000 中，您可以使用 sp_dropextendedproc 來卸除任何擴充預存程序。

如果不確定自己是使用什麼SQL Server 版本，可以使用以下語法可以查詢資料庫版本

select @@VERSION

--查詢系統資訊

select * from sys.dm_os_sys_info

4.使用SQL Server Profiler檢視和分析追蹤

當我們想知道誰對SQL Server 做了甚麼事時，就可以使用 SQL Server Profiler 來建立追蹤紀錄，記錄的內容包含所下的SQL語法、Lock狀態、登入的狀況或可用來監視 Database Engine 或 SQL Server Analysis Services 的執行個體....等，可以看到的資訊非常的多，所以您可以擷取每一個事件的相關資料，並將資料儲存至檔案或資料表，以供稍後分析。但也因為這樣SQL Server Profiler使用上多少會影響效能，慎用。

SQL Server Management Studio的「工具」中找到「SQL Server Profiler」

勾選「儲存至檔案」，設定此檔案存放到磁碟C或D

在「設定檔案大小上限(MB)」，輸入 20，表示每個「SQL 追蹤」的檔案大小為 20 MB，每20MB會切割一個檔案。

勾選「啟用檔案換用」

勾選「伺服器處理追蹤資料」

「啟用追蹤停止時間」的意思是，當你開始追蹤後，到所設定的時間系統會自動停止追蹤，這個選項請依實際狀況調整。

點選「執行」

程式執行時，就可以在SQL Profiler中抓到對SQL Server所下達的指令

其中包含「事件類別」、「SQL語法」、「使用者」、「CPU」、「讀取」、「寫入」、「開始時間」與「結束時間」等重要資訊

追蹤結束後到【檔案】->【匯出】 ->【擷取 SQL Server 事件(S) 】->【擷取 Transact-SQL事件(T)】

儲存D:\DBAudit.trc ，就可以先針對敏感的資料表或已知異常語法進行分析與篩選。

5.SQL Server 安全性更新

到Windows 控制台\所有控制台項目\Windows Update\檢視更新記錄

查看是否有更新 SQL Server 2008 Service Pack 3

如果沒有請到下面網址下載

http://support.microsoft.com/kb/2546951/zh-tw

Read More

[資訊安全]-使用簡單的Ping即可得知目標的作業系統

在駭客攻擊的行為中往往確認攻擊目標後，通常就會開始執行網路探勘為什麼要執行網路探勘 (Reconnaissance) ? 所謂知彼知己百戰百勝，得知標的資訊後駭客即可對症下藥，針對主機的弱點進行攻擊。

網路探勘主要利用網路上所提供的服務或工具 (例如Whois、Nslookup等等)，來取得目標主機的位置及資訊，而網路探勘其實又有分主動式探勘(Active)跟被動式探勘(Passive)。

主動式探勘：傳送特定的封包(TCP、UDP、ICMP)到目標主機，並根據回應封包得到目標主機的相關資訊，例如 Ping、Port Scan、Tracert(Trace Route)、Telnet 等…。

被動式探勘：不傳送特定的封包，而是監測封包或是第三方工具來取得目標主機的相關資訊，例如 Whois、Google Hacking，簡單的說就是自己的主機不會直接access到目標主機，避免留下記錄。

今天要介紹網路探勘其中的一個小工具Ping指令，相信大家都不陌生一定都有用過，透過簡單的Ping指令即可得知目標的作業系統是Windows還是Linux

C:\>ping 192.168.0.1

Pinging 192.168.0.1 with 32 bytes of data:

Reply from 192.168.0.1: bytes=32 time<10ms TTL=128

Reply from 192.168.0.1: bytes=32 time<10ms TTL=128

Reply from 192.168.0.1: bytes=32 time<10ms TTL=128

Reply from 192.168.0.1: bytes=32 time<10ms TTL=128

Ping statistics for 192.168.0.1:

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 0ms, Maximum = 0ms, Average = 0ms

上圖應該大家都不陌生，但玄機就在於TTL之中了，何謂TTL？TTL（生存時間），指一個封包在通過一個網路時，最長可以逗留的時間。每當封包經過一個路由器，其存活時間就會減一。當其存活時間是 0 時，主機便取消封包，並傳送一個ICMP TTL封包給原封包的發出者。其目的為防止資料包不斷在 IP 網際網路絡上永不終止地循環。

而任何作業系統都有一個預設的TTL值，Linux系統的TTL值為64或255，Windows NT/2000/XP系統的默認TTL值為128，Win7系統的TTL值是64，Windows 98系統的TTL值為32，UNIX主機的TTL值為255。

以這個範例來說TTL=128 就是Windows NT/2000/XP 等作業系統了，不過TTL顯示多少真的就是對應的作業系統嘛？其實不見得，在Windows中可以修改regedit 來改變TTL的預設值，修改方式如下：

開始->執行->regedit

[HKEY_LOCAL_MACHINE＼ SYSTEM＼CurrentControlSet ＼Services＼ Tcpip＼Parameters] "DefaultTTL"=dword:000000ff

16進位

TTL：255---FF

TTL：128---80

TTL：64----40

TTL：32----20

或是使用十進位更直覺。

Linux 修改方式：

修改TTL值 vi /sys/net/ipv4/ip_default_ttl 將裡面的值修改成需要的即可。

結語：

雖然這方法對真正駭客可能無用，但起碼可以混淆很多人了，大家快去試試看吧。 

Read More

[資安鑑識]-手動尋找system32目錄中可能存在的木馬

資安事件為因蓄意行為、意外狀況、人為疏失，導致單位系統被駭客植入木馬程式、竊取資料、遭受阻斷式服務攻擊、實體破壞設等等破壞組識資訊通訊的事件。為了迅速抓出淺在電腦裡的木馬元凶，這裡提供簡單的檢測方法。

主機在乾淨且正常的狀態下備份

Cd %systemroot%\system32

dir *.exe > c:\log\exeb.txt & dir *.dll > c:\log\dllb.txt

請自行將dllb.txt妥善保管好，執行一段時間後，當覺得主機怪怪的或有發現異常時，在備份一次(不同檔名或路徑)

dir *.exe > c:\log\exec.txt & dir *.dll > c:\log\dllc.txt

就可以比較前後兩次的檔案列表

fc c:\log\exeb.txt c:\log\exec.txt >> c:\log\diffe.txt && c:\log\dllb.txt c:\log\dllc.txt >> c:\log\diffd.txt

以上圖來說紅框的部分，就可以發現到有異常的程式在執行了。

Read More