所谓黑客就是利用系统安全漏洞对网络进行攻击和破坏，恶意的黑客可以利用非常简单的攻击方法进入数据库，接下来，我们就一起跟随我们郑州北大青鸟的网络专家来看一下，黑客是如何入侵数据库的？企业如何阻止这种攻击？

    1.对弱口令或默认用户名/口令的破解
    有时企业只能保障关键数据库的安全，其它的就不太安全了。现在，较新的数据库强制使你在安装时改变系统管理员账户的默认口令。但较老的数据库版本可能存在着问题，但即使是唯一的、非默认的数据库口令也是不安全的。通过强力破解或只试着用不同的组合就可以轻易地找到这种口令。保护自己免受口令攻击的最佳方法：避免使用默认口令，建立强健的口令管理程序并对口令经常改变。

    2.特权提升
    特权提升通常更多地与错误的配置有关：一个用户被错误地授与了超过其实际需要用来完成工作的、对数据库及其相关应用程序的访问和特权。一个非特权用户可以试着连接到数据库，只要他可以访问一个系统，如CRM，他就可以用同样的口令通过检查，即使他没有获得此数据库的授权。有些控制并没有实现很好的集中化。

    3.利用未用的和不需要的数据库服务和功能中的漏洞
    监听程序可以搜索出到达Oracle数据库的网络连接，并可以转发此连接，这样一来就会将用户和数据库的链接暴露出来。只需采用一些Google hacking攻击，一位攻击者就可以搜索并找到数据库服务上暴露的监听程序。关键是要保持数据库特性的精简，仅安装你必须使用的内容。别的东西一概不要。Markovich说，“任何特性都可被用来对付你，因此只安装你所需要的。如果你并没有部署一种特性，你就不需要以后为它打补丁。”

    4.针对未打补丁的数据库漏洞
    这些数据库并没有打补丁，如果一个黑客能够比较版本，并精确地找出漏洞在什么地方，那么，他就可以跟踪这个数据库。而且一些黑客站点将一些已知的数据库漏洞的利用脚本发布了出来，即使跟得上补丁周期有极大困难，单位也应当打补丁。这些和其它的补丁都不应当掉以轻心。每一个问题都能够破坏你的数据库。

    5.SQL注入
    除客户端之外，Web应用程序是最脆弱的环节。有些情况下，如果攻击者得到一个要求输入用户名和口令的应用程序的屏幕，而且应用程序并不检查登录的内容的话，他所需要做的就是提供一个SQL语句或者数据库命令，并直接转向数据库。从Web应用程序到数据库两个方面都可以实施SQL注入式攻击，而且可以从数据库内部实施。但有一些程序设计方法可有助于防止应用程序中的SQL注入攻击漏洞，如使用所谓的绑定变量(bind variable)或者使用参数进行查询等。另外一种方法是避免显示某些数据库错误消息,目的是避免将可能敏感的信息透露给潜在的攻击者。

    6.窃取(未加密的)备份磁带
    如果备份磁带在运输或仓储过程中丢失，而这些磁带上的数据库数据又没有加密的话，一旦它落于罪恶之手，这时黑客根本不需要接触网络就可以实施破坏。只要被窃取的或没有加密的磁带不是某种Informix或HP-UX 上的DB2等较老的版本，黑客们需要做的只是安装好磁带，然后他们就会获得数据库。

    以上就是平时我们最为常见的黑客入侵数据库的六大惯用伎俩，如果你想成为“黑客”的对手，成为一名专业的网络安全工程师，那么就来郑州北大青鸟翔天信鸽网络工程师培训学校参加培训学习吧！

    网上报名：http://www.zzbenet.com/baoming.html 
    QQ在线咨询：1140956478
    学校当面咨询地址：郑州市文化路与农业路交叉口，金国商厦15楼