网络数据库站点防黑措施

问：在网络数据库站点检索信息时往往需要验证用户的合法性，请分析这样的站点有哪几种技术保护措施？

答: 身为一个网管，都知道数据库就是网站的核心机密，黑客的目的往往也是数据库，所以保护数据库是刻不容缓的。

前人总结的方法如下：

1.发挥你的想象力 修改数据库文件名

不用说，这是最最偷懒的方法，但是若攻击者通过第三方途径获得了数据库的路径)，就玩完了。比如说攻击者本来只能拿到list权 ，结果意外看到了数据库路径，就可以冠冕堂皇地把数据库下载回去研究了。另外，数据文件通常大小都比较大，起再隐蔽的文件名都瞒 不了人。故保密性为最低。

2.数据库名后缀改为ASA、ASP等

此法须配合一些要进行一些设置，否则就会出现本文开头的那种情况

(1)二进制字段添加(此招我还没有炼成-_-+)。

(2)在这个文件中加入，IIS就会按ASP语法来解析，然后就会报告500错误，自然不能下载了。可是 如果只是简单的在数据库的文本或者备注字段加入<%是没用的，因为ACCESS会对其中的内容进行处理，在数据库里他会以 < %的形式存在，无效！正确的方法是将<%存入OLE对象字段里，这样我们的目的就能达到了。&nbs p;

作方法：

首先，用notepad新建一个内容为 <% 的 文本文件，随便起个名字存档。

接着，用Access打开您的数据库文件，新建一个表，随便起个名字，在表中添加一个OLE对象的字段，然后添加一个记录， 插入之前建立的文本文件，如果操作正确的话，应该可以看到一个新的名为"数据包"的记录。即可

3.数据库名前加"#"

只需要把数据库文件前名加上#、然后修改数据库连接文件（如conn.asp）中的数据库地址。原理是下载的时候只能识别& nbsp;#号前名的部分，对于后面的自动去掉，比如你要下载：http://www. chinaz.com/date/# 123.mdb(假设存在的话）。无论是IE还是FLASHGET等下到的都是http://www.test.com/dat e/index.htm(index.asp、default.jsp等你在IIS设置的首页文档) 

另外在数据库文件名中保留一些空格也起到类似作用，由于HTTP协议对地址解析的特殊性，空格会被编码为"%",如http ://www.test.com/date/123 ;456.mdb，下载的时http://www. test.com/date/123 %456.mdb。而我们的目录就根本没有123%456.mdb这个文件，所 以下载也是无效的这样的修改后，即使你暴露了数据库地址，一般情况下别人也是无法下载！