应用程序保存数据库连接配置可能出现的一个安全隐患

对于数据库应用程序，我们通常需要保存连接到数据库的服务器名称，用户名、密码等数据，而这些数据我们通常都是要进行加密处理的，因为显而易见，存储为明文将会导致密码的泄漏，影响数据的安全性！

现在问题来了，我们如何才能安全的保存 我们的用户名和密码呢？

 通常情况下，我们采用这样的办法来保存连接的信息。

 

Public Sub SaveDBToFile()Sub SaveDBToFile()
  Dim sw As New IO.StreamWriter("db.cfg")
  sw.WriteLine(ServerName)
  sw.WriteLine(UserName)
  sw.WriteLine(Password)
  sw.Close()
End Sub

这里有一个问题，就是密码信息我们没有加密存储，这个时候用户打开这个配置文件，就会找到数据库连接的真实密码。所以我们增加了一个加密的函数，来进行加密处理。

 

 

Public Function Encrypt()Function Encrypt(ByVal Str As String) As String
  ' 这里仅仅表示一个测试。直接返回了这个字符串。
  Str = Str
  Return Str
End Function

然后我们需要修改保存的数据库配置方法，就是那个SaveDBToFile()过程。修改后的代码如下：

 

 

Public Sub SaveDBToFile()Sub SaveDBToFile()
  Dim sw As New IO.StreamWriter("db.cfg")
  sw.WriteLine(ServerName)
  sw.WriteLine(UserName)
  sw.WriteLine(Encrypt(Password))  ' 对密码进行加密处理。
  sw.Close()
End Sub

很好，这里我们已经对密码进行了加密处理，密码已经被我们加密了。的确在这里也没有问题。

 

但是，如果你出现了和我以前有过的一样想法，那可能就要犯错误了。我的想法是，这样的简单加密密码还不是很安全，如果偷窥密码的人，连我的服务器名称、连接数据库的用户都不知道的话，岂不是更加安全了？好，说做就做，我们把服务器名称、连接用户名和密码统统加密，我看你还能怎么样？光知道我的用户名，密码你就猜吧！现在连我的用户名，你都不知道，我看你还猜什么！

修改后的保存数据库配置信息过程如下：

 

Public Sub SaveDBToFile()Sub SaveDBToFile()
  Dim sw As New IO.StreamWriter("db.cfg")
  ' 服务器名称、用户名和密码全部都加密处理！
  sw.WriteLine(Encrypt(ServerName))
  sw.WriteLine(Encrypt(UserName))
  sw.WriteLine(Encrypt(Password))
  sw.Close()
End Sub

我们以为这样很安全了，而且我在一些软件里面也是这样做的，但是很有可能，用一种简单的办法就可以破解你的连接信息，因为很简单，你的这些密码配置应该是通过你的应用程序来做的，也就是说，程序应该提供一个窗口（或者别的什么控件）给用户（或者说管理员）来设置连接的用户信息。而我们在这个窗口里面通常是提供了三个TextBox控件为用户进行配置信息输入，并且通常我们都会把密码文本框设置为仅仅显示*号，而其他文本框是正常的文本显示。

 

现在对这个连接配置文件进行一下小小的改动，用记事本打开它，把这个文件的第三行和第二行内容进行对调，重新启动我们的应用程序，结果数据库连接不上了，我们需要重新设置数据库连接，打开数据库连接配置窗口，发现用户名那个文本框的内容，出现了我们以前设置的密码！！！

好了，这里我们出现了问题，那么如何解决呢？

有一种办法，就是“见好就收”，就是我们使用的第一种方法，仅仅加密密码，对于服务器名称和用户名称不加密。如果你觉得这种方法不太安全，还是要让这些偷窥者们不知道你的用户的情况下来猜测密码，那么就让你保存的文本可以表示出这一行是什么含义，也是说我们的程序读取这个文本的时候，可以知道这一行保存的是服务器名称还是用户的密码。我们尝试将保存办法修改如下：

Public Sub SaveDBToFile()Sub SaveDBToFile()
  Dim sw As New IO.StreamWriter("db.cfg")
  ' 服务器名称、用户名和密码全部都加密处理！
 sw.WriteLine(Encrypt("S=" & ServerName))  ' S开头表示这个是服务器名称
  sw.WriteLine(Encrypt("U=" & UserName))    ' U开头表示这个是用户名
  sw.WriteLine(Encrypt("P=" & Password))    ' P 开头代码这个是密码
  sw.Close()
End Sub

我们程序在读取的时候，首先将数据行解密，然后根据解密后的字符串起始字符来判断该文本的含义。

(这个是我最近的一些小感想，希望大家可以发表自己的意见！)