前文我们提到，从数据库安全漏洞的成因分析，数据库漏洞主要可以划分为：应用程序逻辑漏洞和数据库软件漏洞，而其中数据库软件漏洞的成因更为复杂。在分析了数据库软件的核心组件之后，我们能够更有调理的从入侵方式的维度对数据库自身的安全威胁展开分析，具体可分为以下四种：
1、网络攻击的安全问题
2、数据库引擎的安全问题
3、内建存储对象的安全问题
4、SQL编程组件的安全问题
本文先对以外部网络攻击为入侵手段的数据库安全威胁进行说明。
所有数据库平台都包含至少一个网络监听组件。这个组件可以是一个独立的可执行文件(如Oracle)，通常它是主数据库引擎进程的一部分（如微软的 SQL Server）。网络监听组件是网络访问数据库的端口，必须要谨慎编写，否则将可能面临类似缓冲区溢出这类的常见攻击，并且被攻击的可能性与协议的复杂性成正比。比如，著名的sql slammer蠕虫就是一个针对sql server 2000网络端口缓冲区溢出漏洞发起的恶意程序，Slammer“蠕虫”不仅攻击各大企业公司的内部网络，对世界各地的大型商务活动造成了巨大的负面影响。攻击所带来的损失是前从未有的。网络端口漏洞在Oracle上存在更多，TNS是Oracle的网络端口，截止到现在被发现至少20个漏洞。TNS漏洞带来的危害都比较大，例如CVE-2002-0965、CVE-2002-0965、CVE-2007-5507、CVE-2012-0072都是可以直接夺取操作系统权限的缓冲区漏洞。这些漏洞跨越了Oracle9i到11g的所有版本（Oracle9i才开始支持互联网）。
数据库安全威胁变化多样，各类来自数据库内部或外部，应用端或运维端的各种攻击岑出不穷，恶意程序不断衍生各类形态，我们需要随时洞悉各类新型攻击方式，下一篇文章将对数据库引擎的安全问题进行剖析。
产品咨询：4000 258 365 
