数据库系统的安全组件技术方案

本发明专利技术提出一种数据库系统的安全组件，包括登录安全组件和数据处理安全组件，登录安全组件包括接口产生模块、验证码验证模块、密码验证模块和窗体身份识别符验证模块，数据处理安全组件包括数据交互模块、格式验证模块、代码替换模块、代码编码模块和错误页面产生模块。采用本发明专利技术的技术方案，能够有效地针对现有技术中存在的上述问题，针对蛮力攻击提供充分的保护，改善存储方式以及权限控制的安全性，消除在错误页面透露过多的敏感信息，并防止脚本注入和脚本攻击带来的威胁。

【技术实现步骤摘要】

本专利技术涉及数据库系统的安全技术，尤其涉及数据库系统的安全组件。
技术介绍
随着hternet在各行各业的普及和Web应用的发展，网站尤其是网站数据库系统 的安全性问题越来越受到人们的重视。当使用ASP. NET开发网站或企业项目系统时，安全 性已经成为了首要考虑的关键问题。对于基于ASP. NET开发的数据库系统来说，主要的安全威胁来自下述的几个方1)蛮力攻击。如果不采取系统措施防止恶意用户无休止的尝试登录数据库，那么 系统就容易受到不计其数的猜解口令的攻击。这就是蛮力攻击的一种。这种攻击主要是设 计一个程序，用它向目标应用程序发送很多请求以测试各不相同的口令。这些程序的典型 特色是以常见密码表为基础。蛮力破解口令还有另一种形式，即先从存放口令的文件或者 数据库中提取经过加密的口令。尽管强大的加密使黑客不能直接获得口令，但是其仍然可 以进行蛮力猜解，尝试寻找具有相向加密结果的口令。蛮力破解造成的威胁由被破解口令 的用户所拥有的权限决定。拥有管理员权限的用户应该谨慎地选用较难被破解的口令.但 即使一个低权限的用户账户登录系统也可能会让攻击者有机可乘。2)不可靠地存储方式。大部分数据库都必须处理敏感数据。敏感数据一般包括个 人信息，密码和配置数据等。这些“秘密”以多种格式存储并且通过多种协议传输。它们将 成为黑客重点攻击的目标。3)对用户行为没有限制。对授权用户行为的约束没有完全限制。攻击者可以使用 这些缺陷访问其他账户，查看敏感文件，或使用未经授权的功能。4)包含有详细错误信息的错误页面开发人员关注于实现功能，而攻击者关注于错误条件。通过向数据库系统输入各 种非预期信息，攻击者尝试引发某些类型的错误行为，往往这些错误行为的报错页面中会 包含很多的详细错误信息，由此攻击者获得更多关于数据库系统的内部工作信息，并最终 帮助他们发现安全漏洞。例如，ASP. NET每次出现未处理的错误时，就会生成显示详细错误 信息的页面。页面包括非常敏感的数据。尽管这些信息在开发过程中非常有用，但开发人 员绝对不能，也不希望在最终产品中把这些信息暴露给客户端。5)脚本注入和脚本攻击本质上所有的脚本注入和跨站点脚本攻击都是由输入验证的缺陷导致。假若验证 所有来自非信任源的数据，则所有的这些攻击都是可预防的。
技术实现思路
针对上述的问题，本专利技术提出一种数据库系统的安全组件。该数据库系统的安全组件包括登录安全组件和数据处理安全组件，其中登录安全组件包括接口产生模块、验证码验证模块、密码验证模块和窗体身份识 别符验证模块，其中，接口产生模块在登录页面上提供用户名输入接口、密码输入接口、验证码输入接口和窗体身份识别符输入接口 ；验证码验证模块通过验证码输入接口获取验证码，与设定的验证码进行比较，两 者一致则进行后续的步骤，两者不一致则拒绝登录；密码数据接口通过密码数据接口获取密码，对于密码进行加密运算，将得到的结 果与保存在数据库中的经加密运算的密码比较，两者一致则进行后续的步骤，两者不一致 则拒绝登录；窗体身份识别符验证模块通过窗体身份识别符输入接口获取窗体身份识别符，与 保存在数据库中的窗体身份识别符副本比较，两者一致则允许登录，两者不一致则拒绝登 录；数据处理安全组件包括数据交互模块、格式验证模块、代码替换模块、代码编码模 块和错误页面产生模块，其中，数据交互模块接收输入数据，并根据对于处理数据的结果产生回应数据；格式验证模块验证所述输入数据的格式，对于符合格式规定的输入数据产生通过 信号，对于不符合格式规定的输入数据产生拒绝信号并提供给错误页面产生模块；代码替换模块扫描所述输入数据，将规定的代码替换成替换符；代码编码模块连接到代码替换模块，对经过代码替换模块处理的数据数据进行代 码编码，将能够执行代码编码后输入数据提供给所述数据库系统，将不能执行代码编码的数据数据提供给错误页面产生模块；错误页面产生模块连接到格式验证模块和代码编码模块，产生统一的错误页面提供给数据交互模块作为回应数据。在一个实施例中，验证码是以图片形式显示的数字或者字符。在一个实施例中，经加密运算的密码是经过MD5加密算法进行加密运算的密码， 密码数据接口通过密码数据接口获取密码也通过MD5加密算法进行加密运算。在一个实施例中，代码替换模块替换的规定的代码包括“ {”、“} ”、“ ”和“&”， 替换符为空格。采用本专利技术的技术方案，能够有效地针对现有技术中存在的上述问题，针对蛮力 攻击提供充分的保护，改善存储方式以及权限控制的安全性，消除在错误页面透露过多的 敏感信息，并防止脚本注入和脚本攻击带来的威胁。附图说明图1揭示了根据本专利技术的数据库系统的数据库系统的安全组件。 具体实施例方式参考图1所示，本专利技术的数据库系统的安全组件包括登录安全组件10和数据处理 安全组件20。登录安全组件10包括接口产生模块101、验证码验证模块102、密码验证模块103和窗体身份识别符验证模块104，其中，接口产生模块101在登录页面上提供用户名输入接口、密码输入接口、验证码输 入接口和窗体身份识别符输入接口。验证码验证模块102通过验证码输入接口获取验证码，与设定的验证码进行比 较，两者一致则进行后续的步骤，两者不一致则拒绝登录。密码数据接口 103通过密码数据接口获取密码，对于密码进行加密运算，将得到 的结果与保存在数据库中的经加密运算的密码比较，两者一致则进行后续的步骤，两者不 一致则拒绝登录。窗体身份识别符验证模块104通过窗体身份识别符输入接口获取窗体身份识别 符，与保存在数据库中的窗体身份识别符副本比较，两者一致则允许登录，两者不一致则拒 绝登录。验证码验证模块102主要是为了抵御蛮力攻击。蛮力攻击是指成千次地使用大量 密码组合来攻击一个密码。验证码就是在服务器端生成一串随机数或者字符，并保存在内 存中，然后将随机数或者字符写入设计好的图片中，发送给浏览器，并以图片形式显示给用 户。最后由用户肉眼识别其中的验证码信息，通过验证码输入接口提交。验证码的验证过程是用户在验证码输入接口输入识别的验证码，数据库的服务器 端获取用户的提交信息，判断验证码字符和服务器端保存的字符是否相同，如果相同，则通 过验证判断，否则提示错误信息并拒绝用户的登录操作。在一个实施例中，验证码验证模块102可以通过下述的代码实现^iJM-yMfWf^o l3p-^^"checkimage. aspx", JTJf "checkimage. aspx. 编写生成随机字符的方法GenerateCheckCode ()，主要代码如下private string GenerateCheckCodeO {int number;char code;string checkCode = string.Empty; Random random = new Random();for (int i = 0; i < 4; i++) {number = random. Next(); if (number % 2 == 0)code = (char)('l' + (char)(number % 10));elsecode = (char)('A' + (char)(number % 26))本文档来自技高网...

【技术保护点】
一种数据库系统的安全组件，其特征在于，包括登录安全组件和数据处理安全组件，其中：登录安全组件包括接口产生模块、验证码验证模块、密码验证模块和窗体身份识别符验证模块，其中，接口产生模块在登录页面上提供用户名输入接口、密码输入接口、验证码输入接口和窗体身份识别符输入接口；验证码验证模块通过验证码输入接口获取验证码，与设定的验证码进行比较，两者一致则进行后续的步骤，两者不一致则拒绝登录；密码数据接口通过密码数据接口获取密码，对于密码进行加密运算，将得到的结果与保存在数据库中的经加密运算的密码比较，两者一致则进行后续的步骤，两者不一致则拒绝登录；窗体身份识别符验证模块通过窗体身份识别符输入接口获取窗体身份识别符，与保存在数据库中的窗体身份识别符副本比较，两者一致则允许登录，两者不一致则拒绝登录；数据处理安全组件包括数据交互模块、格式验证模块、代码替换模块、代码编码模块和错误页面产生模块，其中，数据交互模块接收输入数据，并根据对于处理数据的结果产生回应数据；格式验证模块验证所述输入数据的格式，对于符合格式规定的输入数据产生通过信号，对于不符合格式规定的输入数据产生拒绝信号并提供给错误页面产生模块；代码替换模块扫描所述输入数据，将规定的代码替换成替换符；代码编码模块连接到代码替换模块，对经过代码替换模块处理的数据数据进行代码编码，将能够执行代码编码后输入数据提供给所述数据库系统，将不能执行代码编码的数据数据提供给错误页面产生模块；错误页面产生模块连接到格式验证模块和代码编码模块，产生统一的错误页面提供给数据交互模块作为回应数据。...

【技术特征摘要】

【专利技术属性】
技术研发人员：钱立，沙洁，
申请(专利权)人：上海杉达学院，
类型：发明
国别省市：31