Насколько опасно предоставлять общественности средства для выполнения запросов SELECT к базе данных? [closed]

Закрыт . Этот вопрос основан на мнении . В настоящее время он не принимает ответы.

Хотите улучшить этот вопрос? Обновите вопрос, чтобы на него можно было ответить с помощью фактов и цитат, редактируя это сообщение .

Закрыт 6 лет назад .

Предположим, я делаю следующее:

Я создаю базу данных MySQL и заполняю ее некоторыми данными.
Я создаю пользователя MySQL, у которого есть доступ только для этой базы данных и у кого есть только привилегии SELECT.
Я создаю веб-страницу, через которую пользователь (любой пользователь, пароль не требуется) может вводить произвольный SQL, и при отправке формы сценарий пытается запустить SQL как созданный мной пользователь MySQL; любой сгенерированный набор результатов отображается пользователю; любое сгенерированное сообщение об ошибке отображается для пользователя.
Предположим, что база данных не содержит хранимых процедур и т. д., только таблицы и представления, и что я рад, если кто-нибудь увидит любое содержимое этой конкретной базы данных.

Мы предполагаем, что установка будет проверена злоумышленником. Что может произойти в худшем случае?

Некоторые мысли:

MySQL предоставляет различные операторы, такие как SHOW и т. Д., Которые пользователь, даже имея только привилегии SELECT, может использовать для сбора информации о сервере базы данных или о моих базах данных. Другую информацию можно получить из сообщений об ошибках. Хотя, вероятно, этого недостаточно для получения неправомерного доступа, эта информация, безусловно, может помочь в этом.
Могут быть недостатки в программном обеспечении базы данных, или в моих сценариях, или в самом языке сценариев, которые могут позволить посетителю что-то делать. предполагается, что они не могут делать это через этот интерфейс.
Это может нарушить условия соглашения об обслуживании, особенно если я использую общий хостинг.

mysql sql database security

задан Hammerite 7 June 2011 в 11:56

0 ответов

Другие вопросы по тегам: