1、Access數據庫防下載
數據庫被下載這對Web來說幾乎是毀滅性的，因為攻擊者從中可以獲取包括管理員帳戶及密碼等在內的敏感信息，然后實施進一步的攻擊?？杀幌螺d的數據庫主要是Access數據庫，采用這種數據庫的Web站點不在少數。防止Access數據庫下載，可以從以下幾個方面入手。
(1)數據庫改名
數據庫改名包括兩部分，首先將其改成比較生僻的名稱，建議名字足夠長并使用某些特殊字符以防被攻擊者猜中。另外，將mdb后綴改為asp，以防數據庫被下載。當然數據庫改名后，數據庫連接配置文件也要進行修改。(圖1)
(2)改變數據庫路徑
站點系統都有默認的數據庫路徑，由于安全意識淡薄，部署Web站點時有很多人不去修改數據庫路徑，因而攻擊者很容易地猜到該站點的數據庫路徑。
更改數據庫路徑，大家可以在站點目錄下創建比較生僻的目錄，然后將數據庫文件拷貝到該目錄中。當然，更改數據庫路徑后，需要修改站點系統的數據庫連接文件。一般asp站點系統的數據庫連接文件是conn.asp。打開該文件后，然后根據實際情況進行修改，使得其跟當前的數據庫路徑相一致。(圖2)
(3)設置好目錄權限
要設置好數據庫目錄的訪問權限，原則是權限最小化以防止非正常的訪問。因為Web程序是通過IIS用戶運行的，我們只要給IIS用戶讀取和寫入權限，然后通過“IIS管理器”把這個目錄的腳本執行權限去掉，防止入侵者在該目錄中通過上傳獲得webshell了。(圖3)
(4)添加mdb的擴展映射
IIS對于不能解析的文件類型就會彈出下載對話框讓用戶下載，我們可以通過在IIS管理器中添加對mdb的擴展映射，防止數據庫被下載。其設置方法是：打開IIS管理器定位到相應的Web站點，右鍵選擇“屬性”，然后依次點擊“主目錄→配置→映射”，在“應用程序擴展”里面添加.mdb文件應用解析，至于用于解析它的可執行文件大家可以自己進行選擇，只要讓攻擊者無法訪問數據庫文件就可以了。(圖4)
(5)數據庫改造
思路是將數據庫后綴名(.mdb)修改為.asp，然后在數據庫中加上一個NotDownLoad的表以防數據庫被下載。具體操作方法如下：
首先新建一個.asp文件(notdown.asp)，其代碼如下：
db="DataShop.asp" '這里改成你的數據庫地址，這是相對根目錄的地址
set conn=server.createobject("Adodb.Connection")
connstr="Provider=Microsoft.Jet.OLEDB.4.0;Data Source="&Server.MapPath(db)
conn.open connstr
conn.execute("create table notdownload(notdown oleobject)")
set rs=server.createobject("adodb.recordset")
sql="select * from notdownload"
rs.open sql,conn,1,3
rs.addnew
rs("notdown").appendchunk(chrB(asc("<")) & chrB(asc("%")))
rs.update
rs.close
set rs=nothing
conn.close
set conn=nothing
然后在服務器端運行notdown.asp，這樣在數據庫添加了包含notdown字段的notdownload數據表，即可防止數據庫的下載，因為notdown有一個值是"< %",asp運行是因缺少"% >"關閉標記而拒絕訪問，下載當然會失敗。(圖5)
2、MSSQL數據庫防注入
MSSQL數據庫是大中型Web站點常采用的數據庫，對于SQL數據最大的威脅是注入。攻擊者通過注入來調用SQL語句執行系統命令，因此其危險性更大。一個注入點，有可能造成整個Web服務器的淪陷。防MSSQL注入可以從下面幾個方面入手。
(1)慎重選擇建站系統
通過站點系統建立一個Web站點是非常容易的，但是某些站點系統代碼編寫不夠嚴謹，考慮不周，變量過濾不嚴等使得可被攻擊者利用。因此，選擇一款安全的站點系統是至關重要的。當然，沒有百分之百安全的站點系統。管理員如果懂代碼的話可以進行檢測分析，看看是否有漏洞。另外，可以扮演入侵者進行入侵檢測。最后，及時打補丁也是非常重要的。
(2)最小權限連接數據庫
Web站點連接數據庫都是通過相應的帳戶進行連接，在這些帳戶中SA是權限最大的也是最危險的。數據庫不要用SA帳戶，使用SA帳戶連接數據庫對服務器來說就是一場災難。一般來說可以使用DB_OWNER權限帳戶連接數據庫，如果可以正常運行，使用public用戶最安全的。設置成dbo權限連接數據庫之后，入侵者基本就只能通過猜解用戶名和密碼或者是差異備份來獲得webshell了，對于前者，我們可以通過加密和修改管理后臺的默認登陸地址來防御。對于差異備份，我們知道它的條件是有備份的權限，并且要知道web的目錄。這樣被攻擊的可能性大大地降低。(圖6)
(3)刪除危險的存儲過程
MSSQL數據庫系統集成了較多的存儲過程，這些命令集方便了我們的操作當然也為攻擊者入侵Web提供了便利。因此我們要根據需要刪除某些在Web中用不到的，并且可被攻擊者利用才存儲過程。比如xp_regread和xp_dirtree這兩個存儲過程可被攻擊者用來讀取注冊表信息和列目錄，我們可以刪除。另外，xp_cmdshell可被用來執行DOS命令比如建立系統帳戶等等，是非常危險的。sp_makwebtask過程，可以讀取SQL SELECT命令所得到的結果到表格形式的HTML文件中。這些比較危險可被攻擊者利用的存儲過程我們可以刪除。比如刪除xp_cmdshell可以執行“exec master..sp_dropextendedproc xp_cmdshell”，其它的類似。(圖7)
(4)修改錯誤頁，誤導攻擊者
SQL注入入侵是根據IIS給出的ASP錯誤提示信息來入侵的，如果我們把IIS設置成不管出什么樣的ASP錯誤，只給出一種錯誤提示信息，即http 500錯誤，那么攻擊者就無法獲得敏感信息實施入侵了。打開IIS管理器選擇相應的Web站點打開其站點屬性窗口，在“自定義錯誤”選項卡下選擇“500:100”點擊“編輯”打開“編輯自定義錯誤屬性”窗口，消息類型選擇“文件”，然后通過瀏覽定位到自己構造的錯誤頁，比如“c:test.htm”，然后確定即可。(圖8)
總結：防下載、防注入這是從Web安全的角度出發實施的非常規措施，在常態下我們一定要做好Web數據庫的備份，這才是最基本的。
