47、数据库安全攻防：从攻击手段到防护策略

数据库安全攻防：从攻击手段到防护策略

1. 攻击 Cold Fusion Web 应用的注意事项

在通过 Web 应用对 Microsoft SQL Server 进行 SQL 注入时，使用 Cold Fusion 编写的应用会自动去除单引号字符，这使得在 SQL 查询中输入字符串变得困难。不过，通常可以使用 chr() 函数来解决这个问题，该函数能将数字转换为对应的 ASCII 字符。

2. 默认账户和配置

2.1 易受攻击的原因

原因	详情
支持多种查询方式	支持单行多查询、UNION 查询或子查询
新手程序员常用	常被新手 Web 程序员使用
有许多有用的存储过程	涵盖命令执行、密码猜测、SQL 查询重定向等功能

2.2 默认账户和密码

一些常见的数据库默认用户名和密码包括：
- probe
- sa
- sql
- db
- dba
- 组织名称或机器名称

需要注意的是，如果 SQL 服务器的登录端口（通常是 TCP 1433）可用，那么很可能已经有黑客对潜在的登录