数据库漏洞扫描关键技术研究
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
（保密的论文在解密后应遵守此规定）
签名：__________ 导师签名：__________ 日期：__________
致谢
借论文完成之际，感谢信息安全国家重点实验室给了我三年的学习机会，在 这三年里我学到了很多知识，结识了不少良师益友。
首先请允许我由衷的感谢我的导师徐震老师，是他的谆谆教诲，让我明白了 许多做人和科研的道理。三年来我学业上的每一点收获都离不开徐老师的教导。 徐老师严谨的科学态度和缜密的思维方式使我终身受益。
Database vulnerability scanning is a convenient and efficient means for database security evaluation. It creates and enforces security policies in accordance with its existing vulnerability database to conduct a comprehensive evaluation of the database, in order to take preventive measures. Although it is impossible to detect unknown vulnerability, in a sense, vulnerability scanning system is sufficient to deal with the vast majority of hacking attacks and internal attacks, because the majority of hacker attacks are using known vulnerabilities. Through actual research, it is found that there are still some problems in the existing database vulnerability scanning system: the unopened vulnerability database, no functions for vulnerability validation or use and so on. This paper studys the database vulnerability scanning technology, puts forward a method for vulnerability database storage which is based on level and classification of the vulnerability and a description method for database vulnerability named VDMSL. A database vulnerability scanning system based on VDMSL is designed, and implemented as well.
签名：___________________ 日期：____________________
关于论文使用授权的说明
本人完全了解中国科学院软件研究所有关保留、使用学位论文的 规定，即：中国科学院软件研究所有权保留送交论文的复印件，允许 论文被查阅和借阅；中国科学院软件研究所可以公布论文的全部或部 分内容，可以采用影印、缩印或其它复制手段保存论文。
关键词：数据库漏洞扫描，漏洞描述 VDMSL，多维层次存储，漏洞验证和 利用，漏洞库扩展
i
Βιβλιοθήκη BaiduAbstract
Abstract
In the past ten years, with the widely exposure of computer virus problem and network security issues, the awareness of computer users' network security and host security has been enhanced significantly. The security applications and solutions for network and host become the main subjects of the safety construction. However, these security-building neglect database security, database security has become the biggest weakness of the security of information systems. The database is the primary storage carrier of sensitive information in the information systems, It will be a disaster to the entire information system if the database system is hacked. By experience and time constraints, the manual maintenance of the database security is not an effective and reliable solution, DBA's routine maintenance work and safety evaluation institutions need an automated tool support.
密级:
硕士学位论文
数据库漏洞扫描关键技术研究
作者姓名： 指导教师：
学位类别： 学科专业： 培养单位：
李乃山 徐震 副研究员 _ 中国科学院软件研究所 工程硕士 计算机技术 中国科学院软件研究所
2012 年 4 月
Investigation of key technologies for database vulnerability scanning
感谢中科院轮滑协会的刷子们，是你们让我在繁忙的科研生活中找到了另一 份快乐。
在两个项目组的工作经历让我认识了很多良师益友，在这里对他们表示一一 感谢，他们是网关项目组的陈小亮、杨婧、吕双双、宋晨、黄亮等工作人员，以 及数据组的李昊、殷佳欣、张大鹏、田雪、吕志泉、蔡克、付艳艳、洪澄、张颖 君、张德胜、王伏根等老师和同学。
该系统借助 VDMSL 支持扫描过程中的执行脚本的环境切换，从而支持对访 问控制配置弱点的检测；通过图形界面复现单个漏洞或弱点的验证过程，保证扫 描结果的可靠性，应对用户对扫描结果提出的质疑；同时通过模拟黑客攻击，提 供漏洞利用支持，向用户展示漏洞的危害性；并且支持漏洞库的用户自定义扩展， 避免数据库漏洞扫描系统更新期间可能造成的不必要损失，使数据库扫描系统支 持非官方定义的数据库系统的漏洞扫描。待丰富漏洞库后，可切实解决各类数据 库安全检测中的繁琐工作，减轻 DBA 和测评人员的工作负担。
iii
数据库漏洞扫描关键技术研究
vulnerability to users; besides the system supports custom expansion of vulnerabilities library by users themselves to avoid unnecessary losses which may result by database vulnerability found during the update of scanning system, in the same time it makes the database scanning system support the unofficial defined database scanning. After enriching the vulnerability database, the system can effectively solve the tedious work of the various types of database security testing to alleviate the workload of the DBA and evaluation of personnel.
数据库漏洞扫描是一种方便且高效的实现数据库安全测评的手段。其依据丰 富的现有漏洞库，通过创建和执行安全策略，对数据库进行全面测评，防患于未 然。虽然无法检测未知漏洞，但是从某种意义上漏洞扫描系统已经足以应对绝大 多数的黑客攻击和内部攻击，因为大部分的黑客攻击行为是利用已知漏洞进行 的。通过实际调研发现目前现有的数据库漏洞扫描系统依然存在一些问题：扫描 过程无脚本环境验证、漏洞库不公开、无漏洞验证和利用功能。本文深入研究了 数据库漏洞扫描相关技术，针对数据库漏洞提出了一种漏洞库的多维层次存储方 案和一种漏洞描述方法 VDMSL，有助于打破现阶段数据库漏洞扫描领域技术封 闭的局势，并基于此描述方法设计实现了一款数据库漏洞扫描系统。
By Li Naishan
A Dissertation Submitted to Graduate University of Chinese Academy of Sciences
In partial fulfillment of the requirement For the degree of
The system based on the VDMSL supports the script execution context switching during the scanning process, thus supports the access control configuration vulnerability detection; through the graphical interface it can replicate the verification process of single vulnerability or weakness to ensure the reliability of the scanning results, so that it can respond to the queries of the results raised by the users. Through simulated hacker attacks and exploits support, the system shows the dangers of an
最后我要深深地感谢我的家人和朋友，是他们的关心和鼓励让我不断前进。
作者 李乃山
2012 年 4 月
摘要
摘要
在过去十多年间，随着计算机病毒的泛滥、网络安全问题的广泛暴露，计算 机用户的网络安全意识、本地主机安全意识得到显著提升，网络安全和主机安全 的相关产品和解决方案成为安全建设的主体。但这些安全建设忽视了数据库安全 问题，使数据库安全成为信息系统安全的最大软肋。数据库是信息系统中敏感信 息的主要存储载体，一旦数据库系统遭受攻击将严重威胁整个信息系统的安全 性。受经验和时间限制，人工手动维护数据库安全并非一种有效可靠的解决方案， DBA 的日常维护工作和安全测评机构需要一种自动化工具的支持。
Master of Computer Technology
Institute of Software, CAS 4, 2012
独创性声明
本人声明所呈交的论文是我个人在导师指导下进行的研究工作 及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方 外，论文中不包含其他人已经发表或撰写过的研究成果。与我一同工 作的同志对本研究所做的任何贡献均已在论文中作了明确的说明。
特别感谢实验室陈驰老师，陈老师一直以朋友的身份指导我的工作和学习， 给了我很融洽的工作和学习环境，在我遇到困难时，陈老师的鼓励给了我莫大的 精神动力，让我认识到没有克服不了的困难。
特别感谢实验室张敏老师在项目工作中对我的指导，张老师严谨的工作态度 让我受益匪浅。
特别感谢实验室马多贺师兄，感谢马师兄以过来人的身份对我研究生阶段中 接近两年时间的指导和帮助，让我接触了很多安全领域中自己所未知的知识。
签名：__________ 导师签名：__________ 日期：__________
致谢
借论文完成之际，感谢信息安全国家重点实验室给了我三年的学习机会，在 这三年里我学到了很多知识，结识了不少良师益友。
首先请允许我由衷的感谢我的导师徐震老师，是他的谆谆教诲，让我明白了 许多做人和科研的道理。三年来我学业上的每一点收获都离不开徐老师的教导。 徐老师严谨的科学态度和缜密的思维方式使我终身受益。
Database vulnerability scanning is a convenient and efficient means for database security evaluation. It creates and enforces security policies in accordance with its existing vulnerability database to conduct a comprehensive evaluation of the database, in order to take preventive measures. Although it is impossible to detect unknown vulnerability, in a sense, vulnerability scanning system is sufficient to deal with the vast majority of hacking attacks and internal attacks, because the majority of hacker attacks are using known vulnerabilities. Through actual research, it is found that there are still some problems in the existing database vulnerability scanning system: the unopened vulnerability database, no functions for vulnerability validation or use and so on. This paper studys the database vulnerability scanning technology, puts forward a method for vulnerability database storage which is based on level and classification of the vulnerability and a description method for database vulnerability named VDMSL. A database vulnerability scanning system based on VDMSL is designed, and implemented as well.
签名：___________________ 日期：____________________
关于论文使用授权的说明
本人完全了解中国科学院软件研究所有关保留、使用学位论文的 规定，即：中国科学院软件研究所有权保留送交论文的复印件，允许 论文被查阅和借阅；中国科学院软件研究所可以公布论文的全部或部 分内容，可以采用影印、缩印或其它复制手段保存论文。
关键词：数据库漏洞扫描，漏洞描述 VDMSL，多维层次存储，漏洞验证和 利用，漏洞库扩展
i
Βιβλιοθήκη BaiduAbstract
Abstract
In the past ten years, with the widely exposure of computer virus problem and network security issues, the awareness of computer users' network security and host security has been enhanced significantly. The security applications and solutions for network and host become the main subjects of the safety construction. However, these security-building neglect database security, database security has become the biggest weakness of the security of information systems. The database is the primary storage carrier of sensitive information in the information systems, It will be a disaster to the entire information system if the database system is hacked. By experience and time constraints, the manual maintenance of the database security is not an effective and reliable solution, DBA's routine maintenance work and safety evaluation institutions need an automated tool support.
密级:
硕士学位论文
数据库漏洞扫描关键技术研究
作者姓名： 指导教师：
学位类别： 学科专业： 培养单位：
李乃山 徐震 副研究员 _ 中国科学院软件研究所 工程硕士 计算机技术 中国科学院软件研究所
2012 年 4 月
Investigation of key technologies for database vulnerability scanning
感谢中科院轮滑协会的刷子们，是你们让我在繁忙的科研生活中找到了另一 份快乐。
在两个项目组的工作经历让我认识了很多良师益友，在这里对他们表示一一 感谢，他们是网关项目组的陈小亮、杨婧、吕双双、宋晨、黄亮等工作人员，以 及数据组的李昊、殷佳欣、张大鹏、田雪、吕志泉、蔡克、付艳艳、洪澄、张颖 君、张德胜、王伏根等老师和同学。
该系统借助 VDMSL 支持扫描过程中的执行脚本的环境切换，从而支持对访 问控制配置弱点的检测；通过图形界面复现单个漏洞或弱点的验证过程，保证扫 描结果的可靠性，应对用户对扫描结果提出的质疑；同时通过模拟黑客攻击，提 供漏洞利用支持，向用户展示漏洞的危害性；并且支持漏洞库的用户自定义扩展， 避免数据库漏洞扫描系统更新期间可能造成的不必要损失，使数据库扫描系统支 持非官方定义的数据库系统的漏洞扫描。待丰富漏洞库后，可切实解决各类数据 库安全检测中的繁琐工作，减轻 DBA 和测评人员的工作负担。
iii
数据库漏洞扫描关键技术研究
vulnerability to users; besides the system supports custom expansion of vulnerabilities library by users themselves to avoid unnecessary losses which may result by database vulnerability found during the update of scanning system, in the same time it makes the database scanning system support the unofficial defined database scanning. After enriching the vulnerability database, the system can effectively solve the tedious work of the various types of database security testing to alleviate the workload of the DBA and evaluation of personnel.
数据库漏洞扫描是一种方便且高效的实现数据库安全测评的手段。其依据丰 富的现有漏洞库，通过创建和执行安全策略，对数据库进行全面测评，防患于未 然。虽然无法检测未知漏洞，但是从某种意义上漏洞扫描系统已经足以应对绝大 多数的黑客攻击和内部攻击，因为大部分的黑客攻击行为是利用已知漏洞进行 的。通过实际调研发现目前现有的数据库漏洞扫描系统依然存在一些问题：扫描 过程无脚本环境验证、漏洞库不公开、无漏洞验证和利用功能。本文深入研究了 数据库漏洞扫描相关技术，针对数据库漏洞提出了一种漏洞库的多维层次存储方 案和一种漏洞描述方法 VDMSL，有助于打破现阶段数据库漏洞扫描领域技术封 闭的局势，并基于此描述方法设计实现了一款数据库漏洞扫描系统。
By Li Naishan
A Dissertation Submitted to Graduate University of Chinese Academy of Sciences
In partial fulfillment of the requirement For the degree of
The system based on the VDMSL supports the script execution context switching during the scanning process, thus supports the access control configuration vulnerability detection; through the graphical interface it can replicate the verification process of single vulnerability or weakness to ensure the reliability of the scanning results, so that it can respond to the queries of the results raised by the users. Through simulated hacker attacks and exploits support, the system shows the dangers of an
最后我要深深地感谢我的家人和朋友，是他们的关心和鼓励让我不断前进。
作者 李乃山
2012 年 4 月
摘要
摘要
在过去十多年间，随着计算机病毒的泛滥、网络安全问题的广泛暴露，计算 机用户的网络安全意识、本地主机安全意识得到显著提升，网络安全和主机安全 的相关产品和解决方案成为安全建设的主体。但这些安全建设忽视了数据库安全 问题，使数据库安全成为信息系统安全的最大软肋。数据库是信息系统中敏感信 息的主要存储载体，一旦数据库系统遭受攻击将严重威胁整个信息系统的安全 性。受经验和时间限制，人工手动维护数据库安全并非一种有效可靠的解决方案， DBA 的日常维护工作和安全测评机构需要一种自动化工具的支持。
Master of Computer Technology
Institute of Software, CAS 4, 2012
独创性声明
本人声明所呈交的论文是我个人在导师指导下进行的研究工作 及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方 外，论文中不包含其他人已经发表或撰写过的研究成果。与我一同工 作的同志对本研究所做的任何贡献均已在论文中作了明确的说明。
特别感谢实验室陈驰老师，陈老师一直以朋友的身份指导我的工作和学习， 给了我很融洽的工作和学习环境，在我遇到困难时，陈老师的鼓励给了我莫大的 精神动力，让我认识到没有克服不了的困难。
特别感谢实验室张敏老师在项目工作中对我的指导，张老师严谨的工作态度 让我受益匪浅。
特别感谢实验室马多贺师兄，感谢马师兄以过来人的身份对我研究生阶段中 接近两年时间的指导和帮助，让我接触了很多安全领域中自己所未知的知识。