4.SQL Server测试(1433端口)

　　SQL Server是很多企业、事业单位首选的数据库系统。这次测试的时间选在一个工作日早晨10点，因为这时这些数据库服务器都在工作。

　　第一步：在命令提示符下运行s扫描器，敲入如下命令：

　　s syn **.1**.133.1 **.1**.138.254 1433

　　扫描结果有13个。(图10)

图10

　　第二步：用SQL连接器连接测试：

　　随机选一个IP，账户为“sa”，密码为空连接成功!(图11)然后敲命令”dir c:\“，可以执行!(图12)这样就等于获得了一个具有“system”权限(比管理员权限还高!)的“shell”。测试到此为止!都到了这一步，什么做不成呢?这台SQL server服务器宣告沦陷!

图11

图12

　　分析：管理员(也许这些单位根本就没有专业的管理员)图方便或安全意识淡薄，以“sa”连接数据库，并且密码为空，或者以”sa“及其简单的数字为密码。这样只要用“扫描器”扫描到这台数据库服务器的IP，就可轻而易举地拿下!数据库的沦陷应该比一般的个人电脑的入侵后果更严重。

　　总结：以上的安全测试所使用的工具都是一些及其常见的工具，一些是系统自己的，技术上也没有多大的难道，任何一个有一定电脑操作经验的人都可以完成一次入侵。如果别有用心的人拿来干一些事情，那就太可怕了。虽然这次测试的是笔者本地ADSL的一个IP段，但我想这种安全现状在全国肯定具有普遍性,网络安全状况不容乐观 !其主要原因是个人电脑用户安全防范意识淡薄，安全知识贫乏，不具备基本的安全技术。另外企事业单位对网络安全重视不够，缺乏专业的管理员。提高安全防范意识，掌握一定的安全技能，刻不容缓，不然下一个被入侵的人就是你!

上一页  [1] [2] [3] [4] [5]