数据库自身安全问题有哪些

数据库自身安全漏洞主要表现为数据库设计缺陷、缺省安装配置漏洞、数据库运行漏洞等。

(1）数据库设计缺陷。在当前的主流数据库中，数据库数据文件在操作系统中以明文形式存在，非法使用者可以通过网络、操作系统接触到这些文件，从而导致数据泄密风险。

(2）缺省安装配置漏洞。数据库安装后的缺省用户名、密码在主流数据库中往往存在缺省数据库用户、密码简单、缺省端口等，如Oracle端口1521、SQL Server端口1433、MySQL端口3306等。攻击者完全可以利用这些缺省用户、端口登录数据库。

(3）数据库运行漏洞。数据库运行的系统软件本身存在的漏洞，数据库系统并未对自身漏洞加以弥补。例如，缓冲区溢出漏洞，通过HTTP或者FTP服务可以触发，假如攻击者拥有数据库合法的账户信息，即使这些服务关闭也能利用这些漏洞；通信协议漏洞，基于通信协议的攻击，如发送超长连接请求、破坏数据库握手协议；操作系统漏洞，未对操作系统漏洞加以弥补，如系统用户权限；SQL注入攻击，通过SQL注入攻击，破坏数据库系统或者盗取敏感信息；拒绝服务攻击，大量连接、深度嵌套、频繁访问等方式，破坏数据库系统可用性。

在数据库系统维护中，如果不重视数据库系统补丁的修复漏洞或制定相应的安全策略，一旦遭到攻击，势必会给数据库的安全带来严重的影响。

数据库自身安全问题有以下这些：

• 默认、空白密码或者弱密码：这种类型漏洞本身不是数据库自身的问题，而是使用者或者说是开发者没有对用户注册时进行验证导致产生这种漏洞；

• SQL注入：指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作；

• 失效的配置管理：这种漏洞产生原因是数据库的配置因为没有及时修改或者更新检测，导致很多原有配置已经失效，这些失效的配置则会产生相应的漏洞；

• 启用不必要的数据库功能：一个数据库有多种功能，但是开启多种功能会导致管理不足，这些多余的功能则会因为没有及时更新或者本身具有缺陷而造成数据库漏洞；

• 缓冲区溢出：缓冲区溢出是指当计算机向缓冲区填充数据时超出了缓冲区本身的容量，溢出的数据覆盖在合法数据上；

• 权限提升：指在数据库因为配置不当或者未及时更新补丁导致攻击者可以得到数据库内部管理员信息来提升自身权限；

• 敏感数据未加密：这种漏洞主要是未对数据库内部的重要数据进行加密，攻击者可以轻易的破解数据库获取内部信息导致数据库信息泄露危害数据库安全。