CN112711574A - 数据库安全性检测方法、装置、电子设备及介质 - Google Patents

Abstract

本发明公开了一种数据库安全性检测方法、装置、电子设备及介质，涉及信息安全技术领域，用于解决相关技术中检测方法的检测范围小且检测效果差的问题。该方法包括：获取目标IP，目标IP具有第一端口和第二端口组，其中第一端口为目标数据库的默认端口，第一端口与第二端口组互斥；基于数据库连接协议判断第一端口是否开放，若是，则将第一端口记为待处理端口，若否，则基于数据库连接协议判断第二端口组中是否存在开放的第二端口，若是，则将第二端口记为待处理端口；经由待处理端口对于目标数据库进行安全检测。本发明扩大了检测范围并提高了检测效果。

Description

数据库安全性检测方法、装置、电子设备及介质

技术领域

本发明涉及信息安全技术领域，尤其是涉及一种数据库安全性检测方法、装置、电子设备及介质。

背景技术

数据库是“按照数据结构来组织、存储和管理数据的仓库”。是一个长期存储在计算机内的、有组织的、可共享的、统一管理的大量数据的集合。常见的数据库有MySQL数据库，其是一种开放源代码的关系型数据库管理系统，使用最常用的数据库管理语言--结构化查询语言进行数据库管理。

在相关技术中，出于避免攻击的考虑，会对目标主机的安全配置进行调整，相应地，在安全性进行检测的过程中，可能判定该目标主机不存在或端口未开放，继而结束检测，即该检测方法难以对上述情况下的安全性进行检测，导致其检测范围小且检测效果差。

目前针对相关技术中检测方法的检测范围小且检测效果差的问题，尚未提出有效的解决方案。

发明内容

为了克服相关技术的不足，本发明的目的在于提供一种数据库安全性检测方法、装置、电子设备及介质，其扩大了检测范围并提高了检测效果。

本发明的目的之一采用如下技术方案实现：

一种数据库安全性检测方法，包括：获取目标IP，所述目标IP具有第一端口和第二端口组，其中所述第一端口为目标数据库的默认端口，所述第一端口与所述第二端口组互斥；

基于数据库连接协议判断所述第一端口是否开放，若是，则将所述第一端口记为待处理端口，若否，则基于所述数据库连接协议判断所述第二端口组中是否存在开放的第二端口，若是，则将所述第二端口记为待处理端口；

经由所述待处理端口对于所述目标数据库进行安全检测。

在其中一些实施例中，所述经由所述待处理端口对于所述目标数据库进行安全检测包括：

获取漏洞库，并自所述漏洞库中提取POC脚本；

根据所述POC脚本经由所述待处理端口对所述目标数据库进行漏洞扫描，并输出扫描结果。

在其中一些实施例中，所述经由所述待处理端口对于所述目标数据库进行安全检测还包括：

经由所述第二端口向所述目标数据库发送连接请求；

接收所述目标数据库根据所述连接请求生成的反馈信息；

根据所述反馈信息判断是否允许爆破，若是，则对所述目标数据库进行密码爆破，并输出爆破结果。

在其中一些实施例中，所述第二端口组中的第二端口按照信用值排列；

在所述基于所述数据库连接协议判断所述第二端口组中是否存在开放的第二端口过程中，自所述第二端口组按照信用值的排位依次选取所述第二端口执行基于所述数据库连接协议判断是否开放。

在其中一些实施例中，所述第二端口的端口号与所述信用值的排位呈负反馈设置。

在其中一些实施例中，所述方法还包括：

查询各个第二端口作为所述待处理端口的次数；

将所述次数转换为信用值，并对所述第二端口进行排列，其中，所述次数与所述信用值的排位呈正反馈设置。

在其中一些实施例中，所述目标数据库采用MySQL数据库。

本发明的目的之二采用如下技术方案实现：

一种数据库安全性检测装置，包括：

获取模块，用于获取目标IP，所述目标IP具有第一端口和第二端口组，其中所述第一端口为目标数据库的默认端口，所述第一端口与所述第二端口组互斥；

判断模块，用于基于数据库连接协议判断所述第一端口是否开放，若是，则将所述第一端口记为待处理端口，若否，则基于所述数据库连接协议判断所述第二端口组中是否存在开放的第二端口，若是，则将所述第二端口记为待处理端口；

处理模块，用于经由所述待处理端口对于所述目标数据库进行安全检测。

本发明的目的之三在于提供执行发明目的之一的电子设备，其包括存储器和处理器，所处存储器中存储有计算机程序，所述处理器被设置为执行所述计算机程序时实现上述的方法。

本发明的目的之四在于提供存储发明目的之一的计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法。

相比相关技术，本发明的有益效果在于：在获取第一端口之后，直接判断第一端口端口是否开放，若否，则查询与目标数据库对应的第二端口，从而确定待处理端口，因此，即便用户对目标主机的安全配置进行了调整，依然可以对目标数据库进行检测，从而扩大了检测范围并提高了检测效果。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本申请实施例一所示数据库安全性检测方法的流程图；

图2是本申请实施例一所示数据库安全性检测方法的原理图；

图3是本申请实施例四所示数据库安全性检测装置的结构框图；

图4是本申请实施例五所示电子设备的结构框图。

附图说明：1、获取模块；2、判断模块；3、处理模块。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行描述和说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。基于本申请提供的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本申请公开的内容相关的本领域的普通技术人员而言，在本申请揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本申请公开的内容不充分。

实施例一

本实施例一提供了一种数据库安全性检测方法，旨在解决相关技术中检测方法的检测范围小且检测效果差的问题。

图1是本申请实施例一所示数据库安全性检测方法的流程图，图2是本申请实施例一所示数据库安全性检测方法的原理图，参照图1和图2所示，本方法包括步骤S101至步骤S106。

步骤S101、获取目标IP。可以理解，目标IP与目标主机一一对应，且标主机内设置有目标数据库，相应地，该目标IP具有第一端口和第二端口组，该第一端口为目标数据库的默认端口，而第二端口组与第一端口呈互斥设置。在此值得说明的是，在对目标主机的安全配置进行调整之后，目标数据库实际对应的端口可能并不是第一端口，而是第二端口组中的一个。

步骤S102、基于数据库连接协议判断第一端口是否开放，若是，则执行步骤S103；若否，则执行步骤S104。可以理解的是，数据库连接协议与目标数据库的类型对应，在执行设备和第一端口之间经由数据库连接协议实现连接时，则可以判定该第一端口为与目标数据库实际对应的端口，还可以判定该第一端口开放。

步骤S103、将第一端口记为待处理端口，然后执行步骤S106。

步骤S104、基于数据库连接协议判断第二端口组中是否存在开放的第二端口，若是，则执行步骤S105；若否，则结束，可以理解，此处的结束是针对该目标IP的，相应地，可以继续获取下一个目标IP并执行该方法进行安全性检测。

可以理解的是，在该步骤S104中，先自第二端口组中选取一个第二端口，然后基于数据库连接协议判断其是否为与目标数据库实际对应的端口，若否，则继续选取下一个第二端口执行上述操作直至得到与目标数据库实际对应的端口或第二端口组内的第二端口全部被选取。可以理解，目标数据库优选采用MySQL数据库。相应地，该数据库连接协议则为MySQL连接协议，该第一端口为3306端口。

步骤S105、将第二端口记为待处理端口；

步骤S106、经由待处理端口对于目标数据库进行安全检测。可以理解的是，该安全检测的具体方式在此不做限制。

可以理解，该方法的步骤是基于执行设备完成的。具体地，该执行设备可以为服务器、云服务器、用户端以及处理器等设备，但该执行设备不限于上述类型。

综上，在本方法中，不对目标主机是否存活进行判断，直接对相关端口的开放进行判断，从而在获取第一端口之后，直接判断第一端口端口是否开放，若否，则查询与目标数据库对应的第二端口，从而确定待处理端口，因此，即便用户对目标主机的安全配置进行了调整，依然可以对目标数据库进行检测，从而扩大了检测范围并提高了检测效果。

可以理解，在上述流程中或者附图的流程图中示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

实施例二

本实施例二提供了一种数据库安全性检测方法，本实施例二是在实施例一的基础上进行的。

在上述步骤S101中的第二端口按照要求排列，并在步骤S104中按照排列顺序依次选取。通过该技术方案，可以有序地进行步骤S104。

具体地，该第二端口组中的第二端口按照信用值排列，相应地，在步骤S104中自第二端口组按照信用值的排位依次选取第二端口执行基于数据库连接协议判断是否开放。

在一个可选的实施例中，第二端口的端口号与信用值的排位呈负反馈设置。可以理解，一个目标IP具有可以有65536(即：2^16)个端口，该端口通过端口号来标记的，端口号范围是从0到65535(2^16-1)，而该第二端口组可以具有(2^16-1)个端口。

相应的，在本技术方案中，端口号为65535的第二端口排于首位，端口号为65534的第二端口排于第二位，.....。则在步骤步骤S104中，先选取端口号为65535的第二端口执行，然后选取端口号为65534的第二端口执行步骤S104，依次类推进行选取。

通过该技术方案，由于靠近末位的端口往往空置，因此，在进行端口调整时，与目标数据库对应的实际端口倾向于上述靠近末位的端口，以便于提高确定待处理端口的效率。

在一个可选的实施例中，该方法可以包括第二端口排列步骤，具体可以包括以下步骤。

执行设备查询各个第二端口作为待处理端口的次数。在此值得说明的是，在步骤S105中确定待处理端口之后，则更新第二端口的次数。对于任意第二端口而言，其次数越大，则其被调整为与目标数据库对应的端口的概率越大。

执行设备将次数转换为信用值，并对第二端口进行排列。在此值得说明的是，该次数与信用值得排位正反馈设置，即第二端口的次数越大，则其信用值排位越靠前。

通过该技术方案，可以根据历史数据对第二端口的排列进行限定，以更快地确定待处理端口。进一步地，对于次数相等的端口，则端口号越大的信用值排位越靠前。

实施例三

本实施例三提供一种数据库安全性检测方法，本实施例三在实施例一和/或实施例二的基础上进行的。参照图1和图2所示，该步骤S106可以包括漏洞检测步骤，具体地，该漏洞检测步骤可以以下步骤。

执行设备获取漏洞库，并自漏洞库中提取POC脚本。该漏洞数据库存储于执行设备中，该POC(Proof of Concept，概念验证脚本)脚本用于证明漏洞存在。

执行设备根据POC脚本经由待处理端口对目标数据库进行漏洞扫描，并输出扫描结果。可以理解，该扫描结果可以为“存在漏洞”或“不存在漏洞”，相应地，还可以根据漏洞的数量构建安全等级，具体操作不做限制。

在此值得说明的是，在相关技术中，在进行安全性检测的过程中，通常对目标主机进行漏洞扫描，而不对目标数据库进行扫描，从而具有“大而不精”的问题。但是，在本技术方案中，在实施例一中任意技术方案的情况下，对目标数据库进行漏洞扫描，从而提高了扫描精度。

在一个可选的实施例中，该步骤S106还可以包括弱口令检测步骤，具体地，该弱口令检测步骤可以包括以下步骤。

执行设备经由第二端口向目标数据库发送连接请求。可以理解，该连接请求携带有密码等信息，在密码正确的情况下可以连接执行设备和目标数据库。

执行设备接收目标数据库根据连接请求生成的反馈信息。可以理解，该反馈信息可以分为三类：连接成功、密码错误、禁止连接。其中，为密码错误的反馈信息允许爆破。

执行设备根据反馈信息判断是否允许爆破，若是，则对目标数据库进行密码爆破，并输出爆破结果；若否，则不执行相应操作。其中，该具体的爆破步骤可以为：获取密码字典库，并在密码字典库中提取弱口令集，然后进行爆破操作。可以理解，该弱口令集的范围和种类等参数可以根据目标数据库的特点和扫描情况确定，具体在此不做限定。其中爆破结果可以为成功和失败

通过该弱口令检测步骤可以对目标数据库的密码的安全性进行检测，从而对目标数据库的安全性进行了进一步的检测，以提高结果的可靠性

在此值得说明的是，该步骤S106可以包括漏洞检测步骤和/或弱口令检测步骤，但出于对输出结果的准确性的考虑，该步骤S106优选包括漏洞检测步骤和弱口令检测步骤，但不限定二者的执行顺序。例如：在步骤S106中，先执行漏洞检测步骤，输出扫描结果，然后执行弱口令检测结果，输出爆破结果，相应地，检测结果包括扫描结果和爆破结果。

实施例四

本实施例四提供一种数据库安全性检测装置，其为上述实施例的虚拟装置结构。图3是本申请实施例四所示数据库安全性检测装置的结构框图，参照图3所示，该装置包括：获取模块1、判断模块2、处理模块3。

获取模块1用于获取目标IP，目标IP具有第一端口和第二端口组，其中第一端口为目标数据库的默认端口，第一端口与第二端口组互斥；

判断模块2用于基于数据库连接协议判断第一端口是否开放，若是，则将第一端口记为待处理端口，若否，则基于数据库连接协议判断第二端口组中是否存在开放的第二端口，若是，则将第二端口记为待处理端口；

处理模块3用于经由待处理端口对于目标数据库进行安全检测。

需要说明的是，上述各个模块可以是功能模块也可以是程序模块，既可以通过软件来实现，也可以通过硬件来实现。对于通过硬件来实现的模块而言，上述各个模块可以位于同一处理器中；或者上述各个模块还可以按照任意组合的形式分别位于不同的处理器中。

实施例五

本实施例五提供了一种电子设备，图4是本申请实施例五所示电子设备的结构框图，参照图4所示，该电子设备包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行实现上述实施例中的任意一种数据库安全性检测方法，具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。

可选地，上述电子设备还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

另外，结合上述实施例中的数据库安全性检测方法，本申请实施例五可提供一种存储介质来实现。该存储介质上存储有计算机程序；该计算机程序被处理器执行时实现上述实施例中的任意一种数据库安全性检测方法，该方法包括：

获取目标IP，目标IP具有第一端口和第二端口组，其中第一端口为目标数据库的默认端口，第一端口与第二端口组互斥；

基于数据库连接协议判断第一端口是否开放，若是，则将第一端口记为待处理端口，若否，则基于数据库连接协议判断第二端口组中是否存在开放的第二端口，若是，则将第二端口记为待处理端口；

经由待处理端口对于目标数据库进行安全检测。

如图4所示，以一个处理器为例，电子设备中的处理器、存储器、输入装置和输出装置可以通过总线或其他方式连接，图4中以通过总线连接为例。

存储器作为一种计算机可读存储介质，可以包括高速随机存取存储器、非易失性存储器等，可用于存储操作系统、软件程序、计算机可执行程序和数据库，如本发明实施例一的数据库安全性检测方法对应的程序指令/模块，还可以包括内存，可用于为操作系统和计算机程序提供运行环境。在一些实例中，存储器可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至电子设备。

处理器用于提供计算和控制能力，可以包括中央处理器(CPU)，或者特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者可以被配置成实施本申请实施例的一个或多个集成电路。处理器通过运行存储在存储器中的计算机可执行程序、软件程序、指令以及模块，从而执行电子设备的各种功能应用以及数据处理，即实现实施例一的数据库安全性检测方法。

该电子设备的输出装置可以是液晶显示屏或者电子墨水显示屏，该电子设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

该电子设备还可包括网络接口/通信接口，该电子设备的网络接口用于与外部的终端通过网络连接通信。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

本领域技术人员可以理解，图4中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的电子设备的限定，具体的电子设备可以包括比图中更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)、DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

值得注意的是，在该数据库安全性检测方法的实施例中，所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。

除非另作定义，本申请所涉及的技术术语或者科学术语应当为本申请所属技术领域内具有一般技能的人士所理解的通常意义。本申请所涉及的“一”、“一个”、“一种”、“该”等类似词语并不表示数量限制，可表示单数或复数。本申请所涉及的术语“包括”、“包含”、“具有”以及它们任何变形，意图在于覆盖不排他的包含。本申请所涉及的“连接”、“相连”、“耦接”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电气的连接，不管是直接的还是间接的。本申请所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系。字符“/”一般表示前后关联对象是一种“或”的关系。本申请所涉及的术语“第一”、“第二”、“第三”等仅仅是区别类似的对象，不代表针对对象的特定排序。

以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种数据库安全性检测方法，其特征在于，所述方法包括：

获取目标IP，所述目标IP具有第一端口和第二端口组，其中所述第一端口为目标数据库的默认端口，所述第一端口与所述第二端口组互斥；

基于数据库连接协议判断所述第一端口是否开放，若是，则将所述第一端口记为待处理端口，若否，则基于所述数据库连接协议判断所述第二端口组中是否存在开放的第二端口，若是，则将所述第二端口记为待处理端口；

经由所述待处理端口对于所述目标数据库进行安全检测。

2.根据权利要求1所述的方法，其特征在于，所述经由所述待处理端口对于所述目标数据库进行安全检测包括：

获取漏洞库，并自所述漏洞库中提取POC脚本；

根据所述POC脚本经由所述待处理端口对所述目标数据库进行漏洞扫描，并输出扫描结果。

3.根据权利要求2所述的方法，其特征在于，所述经由所述待处理端口对于所述目标数据库进行安全检测还包括：

经由所述第二端口向所述目标数据库发送连接请求；

接收所述目标数据库根据所述连接请求生成的反馈信息；

根据所述反馈信息判断是否允许爆破，若是，则对所述目标数据库进行密码爆破，并输出爆破结果。

4.根据权利要求1至3中任意一项所述的方法，其特征在于，所述第二端口组中的第二端口按照信用值排列；

在所述基于所述数据库连接协议判断所述第二端口组中是否存在开放的第二端口过程中，自所述第二端口组按照信用值的排位依次选取所述第二端口执行基于所述数据库连接协议判断是否开放。

5.根据权利要求4所述的方法，其特征在于，所述第二端口的端口号与所述信用值的排位呈负反馈设置。

6.根据权利要求4所述的方法，其特征在于，所述方法还包括：

查询各个第二端口作为所述待处理端口的次数；

将所述次数转换为信用值，并对所述第二端口进行排列，其中，所述次数与所述信用值的排位呈正反馈设置。

7.根据权利要求1至3中任意一项所述的方法，其特征在于，所述目标数据库采用MySQL数据库。

8.一种数据库安全性检测装置，其特征在于，所述装置包括：

获取模块，用于获取目标IP，所述目标IP具有第一端口和第二端口组，其中所述第一端口为目标数据库的默认端口，所述第一端口与所述第二端口组互斥；

判断模块，用于基于数据库连接协议判断所述第一端口是否开放，若是，则将所述第一端口记为待处理端口，若否，则基于所述数据库连接协议判断所述第二端口组中是否存在开放的第二端口，若是，则将所述第二端口记为待处理端口；

处理模块，用于经由所述待处理端口对于所述目标数据库进行安全检测。

9.一种电子设备，其包括存储器和处理器，其特征在于，所处存储器中存储有计算机程序，所述处理器被设置为执行所述计算机程序时实现权利要求1至7中任意一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任意一项所述的方法。

Images