Assignment 2 of Database (Database Security)
- 2. Group 8 âĒ āļāļēāļĒāđāļāļĨāļīāļĄāđāļāļĩāļĒāļĢāļāļīāļāļāļ°āļāļēāļ âĒ āļāļēāļĒāļāļāļ§āļīāļāļāđāđāļāļĢāļēāļ âĒ āļāļŠāļāļąāļāļāļīāļāļēāļŦāļāļāļāļāļąāļ§ Assignment 2
- 3. Database Security Compare With File-System Security (Permission) âĒ Standard Permission āđāļāđāļ Permission āļāļĩāđāđāļāđāļāļģāđāļāļģ Special Permission āļĄāļģāļāļąāļāļāļĨāļļāđāļĄāđāļŦāđāļāļģāļāļ§āļāļĢāļģāļĒāļāļģāļĢāļĨāļāļĨāļāđāļŦāļĨāļ·āļāđāļāļĩāļĒāļ4 āļāļĨāļļāđāļĄāļŠāļģāļŦāļĢāļąāļ āđāļāđ āļĄāļāđāļāļĄāļđāļĨāđāļāđāđāļāđ
- 4. Database Security Compare With File-System Security (Permission) âĒ Read(RX) āļāļĢāļ°āļāļāļāļāđāļ§āļĒ Special Access 2 āļĢāļģāļĒāļāļģāļĢāļāļ·āļ Read āđāļĨāļ° Execute āļāļķāđāļāļŦāļĄāļģāļĒāļāļķāļāļŠāļģāļĄāļģāļĢāļāļāđāļģāļāļāđāļāļĄāļđāļĨ āđāļĨāļ°āđāļĢāļĩāļĒāļāđāļāļĢāđāļāļĢāļĄāļĄāļģāļāļģāļāļģāļ (āļāđāļģāđāļāđ āļĄāļāļąāđāļāđāļāđāļāđāļāļĢāđāļāļĢāļĄāļĢāļ§āļĄ) âĒ Change(RWXD) āđāļāđāļŠāļģāļŦāļĢāļąāļāļāđāļģāļ/āđāļāđāđāļ/āļĨāļāļāđāļāļĄāļđāļĨ âĒ Full Control(RWXDPO) āļŠāļģāļĄāļģāļĢāļāļāļģāļĢāļģāļĒāļāļģāļĢāđāļāđāļāļąāđāļāļŦāļĄāļ âĒ No Access() āđāļĄāđāļŠāļģāļĄāļģāļĢāļāđāļĢāļĩāļĒāļāļāļđāļāđāļāļĄāļđāļĨāđāļāđ āļāļķāļāđāļĄāđāļ§āđāļģāļāļ°āļāļĒāļđāđāđāļāļāļĨāļļāđāļĄāļāļĩāđāļāļģāļŦāļāļāđāļŦāđāđāļĢāļĩāļĒāļāļāļđāđāļāđ (āļŦāļĄāļģāļĒāļāļķāļ No Access āļāļ° Overwrite āļāļ§āļģāļĄāļŠāļģāļĄāļģāļĢāļāļāļ·āđāļ) āļĢāļģāļĒāļāļģāļĢāļŠāļģāļŦāļĢāļąāļāđāļāļĨāđāļāļāļĢāđ āđāļāđāđāļāđ (āļĢāļđāļāđāļāļāļāļģāļĢ āđāļŠāļāļāđāļāđ āļ xxxx (dir-permission) (file-permission) āļ§āļāđāļĨāđāļāđāļĢāļāđāļāđāļāļāļģāļĢāļāļģāļŦāļāļāļŠāļīāļāļāļī āļŠāļģāļŦāļĢāļąāļāđāļāļĨāđāļāļāļĢāđāļāļąāđāļ āļŠāđāļ§āļāļ§āļāđāļĨāđāļāļŦāļĨāļąāļāđāļāđāļāļāļģāļĢāļāļģāļŦāļāļāļŠāļīāļāļāļīāļāļāļāđāļāđ āļĄāļāđāļāļĄāļđāļĨāđāļāđāļāļĨāđāļāļāļĢāđāļāļąāđāļ
- 8. Simple Database For A1 User
- 9. TablesName Users Passenger Airport Staff Admins Airport R CRU Full Control (CRUD) Airplane_Type - CRU Full Control (CRUD) Airplane - CRU Full Control (CRUD) Leg_Instance - CRU Full Control (CRUD) Seat R CRU Full Control (CRUD) Flight_Leg R CRU Full Control (CRUD) Flight R CRU Full Control (CRUD) Fare R CRU Full Control (CRUD) Can_Land - CRU Full Control (CRUD) Discretionary Access Control R: Read, Retrieve C: Create U: Update, Modify D: Delete, Destroy
- 10. Create User
- 14. âĒMysql āļŠāļīāļāļāļīāđāļāļĩāđ user Passenger āļŠāļģāļĄāļģāļĢāļāđāļāđāļģāļāļķāļāđāļāđ
- 15. âĒMysql Airport Staff āļāļģāļŠāļąāđāļāļāļĩāđāđāļāđ āļāļĨāļĨāļąāļāļāđāļāļĩāđāđāļāđ
- 23. âĒSQLite3 āļāļģāļŠāļąāđāļāļāļĩāđāđāļāđ āļŠāļĢāđāļģāļ user ubuntu āļāļķāđāļāļĄāļģ 2 user āđāļāļĒāļāļĩāđ admins āļāļ° āļāļģāđāļāđāļāļļāļāļāļĒāđāļģāļ āđāļāđāļāļāļģāļĢāļāđāļģāļāļāđāļāļĄāļđāļĨ
- 24. âĒSQLite3 Passenger āļāļ°āļāđāļģāļāđāļāđāļāļĒāđāļģāļāđāļāļĩāļĒāļ§ āļāđāļģ insert āļāļ°āļāļķāđāļāļāļąāļāļĢāļđāļ admin insert+select āđāļāđ
- 26. Database Log Files âĒ āļāļģāđāļŦāļāđāļāļ āļāļ Log files āđāļ Ubuntu : /var/log/postgresql/
- 27. āļāļēāļĢāļāļđ Database Log Files âĒ āļŠāļģāļĄāļģāļĢāļāļāļāļāļđāđāļāđāļāđāļ§āļĒāļāļģāļŠāļąāđāļ cat , tail , head , nano , gedit āļāļąāļ§āļāļĒāđāļģāļ tail postgresql-9.3-main.log
- 29. Backup/Restore
- 30. Backup /Restore Database Files âĒ Backup āđāļāđāļāļģāļŠāļąāđāļ pg_dump âFc Database Name > Backup_Name.bak āļŦāļĢāļ·āļ pg_dump âFt Database Name > Backup_Name.tar âĒ Restore āđāļāđāļāļģāļŠāļąāđāļ pg_restore âFc Database Name > Backup_ Name.bak āļŦāļĢāļ·āļ pg_resotre âFt Database Name > Backup_Name.tar
- 32. PostgreSQLBackup /Restore āļŠāļĢāđāļģāļdatabase āđāļŦāļĄāđ āļāļģāļŠāļąāđāļ restore āđāļŠāļĢāđāļāđāļĨāđāļ§āļāļ°āļāļĢāļģāļāļāļāļąāļāļĢāļđāļ
- 38. Possible unethical uses of your group database?
- 39. âĒOur Database about airline reservations system. ï āļāļēāļĢāđāļāļīāļāđāļāļĒāļāđāļāļĄāļđāļĨāļĨāļđāļāļāđāļē (āļāļđāđāđāļāļĒāļŠāļēāļĢ) āđāļāđāļāļāļēāļĢāđāļĄāđāļŠāļĄāļāļ§āļĢ āđāļāļ·āđāļāļāļāļēāļāļāļ·āļāđāļāđāļāļāļēāļĢāļĨāļ°āđāļĄāļīāļāļŠāļīāļāļāļīāļŠāđāļ§āļāļāļļāļāļāļĨ āļāļķāđāļāļāļīāļāļāđāļāļāļāļŦāļĄāļēāļĒ āđāļĨāļ°āļāļēāļāļāđāļāđāļŦāđāđāļāļīāļāļāļ§āļēāļĄāđāļŠāļĩāļĒāļŦāļēāļĒāđāļāđ ï āļāļēāļĢāđāļāļīāļāđāļāļĒāļāđāļāļĄāļđāļĨāđāļāļĩāđāļĒāļ§āļāļīāļ āđāļāļ·āđāļāļāļāļēāļāļāļēāļāļāđāļāđāļŦāđāđāļāļīāļāļāļ§āļēāļĄāđāļŠāļĩāļĒāļŦāļēāļĒ āļāđāļāļŠāļēāļĒāļāļēāļĢāļāļīāļ āļāļąāđāļāļāđāļēāļāļāļ§āļēāļĄāļāļĨāļāļāļ āļąāļĒ āđāļĨāļ°āļāļ§āļēāļĄāļāđāļēāđāļāļ·āđāļāļāļ·āļ āļāļēāļāđāļāđāļ āđāļŦāļāļļāļāļēāđāļŦāđāđāļāļīāļāļāļēāļĢāļāđāļāļāļēāļāļāļēāļāļĢāļĢāļĄāļāļāđāļāļĢāļ·āđāļāļāļāļīāļāđāļāđāļāđāļēāļĒ āđāļāļĢāļēāļ°āļāļĢāļēāļ āļāđāļāļĄāļđāļĨāļāļąāđāļāļŦāļĄāļāđāļĨāđāļ§
- 40. SQL Injection
- 41. âĒ SQL INJECTION ïSQL injection is a technique where malicious users can inject SQL commands into an SQL statement, via web page input. ïāđāļāđāļāđāļāļāļāļīāļāļāļĩāđāļāļđāđāļāļĢāļ°āļŠāļāļāđāļĢāđāļēāļĒāļŠāļēāļĄāļēāļĢāļāļāļĩāļāļāļēāļŠāļąāđāļāļāļāļ SQL āđāļāđāļēāđāļāđāļāļāđāļāļāļ§āļēāļĄ SQL āļāđāļēāļāļāļēāļāļŦāļāđāļēāđāļ§āļāđāļāļ ïInjected SQL commands can alter SQL statement and compromise the security of a web application. ïāļāļēāļŠāļąāđāļ SQL āļāļĩāđāļāļđāļāļāļĩāļāļāļąāļ āļŠāļēāļĄāļēāļĢāļāļāļĢāļąāļāđāļāļĨāļĩāđāļĒāļāļāļēāļŠāļąāđāļ SQL āđāļĨāļ°āļĒāļāļĄāļĢāļąāļāļāļ§āļēāļĄāļāļĨāļāļāļ āļąāļĒāļāļāļāđāļ§āļ āđāļāļāļāļīāđāļāļāļąāđāļ
- 42. âĒ Example of SQL Injection āļāđāļāļāļāļģāļĢāļāđāļāļŦāļģāļāđāļāļĄāļđāļĨāļŠāļģāļĒāļāļģāļĢāļāļīāļ DMK āļāļģāļŠāļąāđāļ SELECT * FROM Airport WHERE Airport_code = âDMKâ;
- 43. âĒ Example of SQL Injection āđāļĨāļ°āļāđāļģāđāļāļīāđāļĄ or 1=1 āļāļģāļŠāļąāđāļ SELECT * FROM Airport WHERE Airport_code = âDMKâ or 1=1;
- 44. âĒ How to test SQL Injection ïāļāļĢāļ§āļāļŠāļāļāđāļāļ·āđāļāļāļĩāđāļāđāļāļāļāļēāļĢāļŦāļēāļ§āđāļēāļāļēāļĢāļāđāļāļŦāļēāļŦāļĢāļ·āļāļāļķāļāļāđāļāļĄāļđāļĨ (Query) āļāļēāļāļāļēāļāđāļēāđāļāļŠ āļāļąāđāļāļāļđāļāļāđāļāļāļāļēāļĄāļāļĩāđ āļāđāļāļāļāļēāļĢāļŦāļĢāļ·āļāđāļĄāđ ïāļŠāđāļ§āļāļāļĩāđāļāđāļāļāļāļēāļĢāļāļĢāļ§āļāļŠāļāļāļāđāļāļ·āļāļŠāđāļ§āļāļāļĩāđāļĄāļĩāļāļāļīāļŠāļąāļĄāļāļąāļāļāđāļāļąāļāļāđāļāļĄāļđāļĨāđāļāļĒāļāļĢāļ ïāđāļāđāļ āļŠāđāļ§āļāļāļāļāļĨāđāļāļāļāļīāļāļāļāļāļāļđāđāđāļāđ(Authentication) , āļŠāđāļ§āļāļāđāļāļŦāļēāļāđāļāļĄāļđāļĨ(Search Engines) , āļŠāđāļ§āļāļāļĩāđāļāļĢāļāļ āļāļēāļāļ§āļāļŠāļīāļāļāđāļē āļŦāļĢāļ·āļāļĢāļēāļāļēāļāđāļēāļāđ (E-commerce)
- 45. âĒ Standard SQL Injection Testing 1. SQL Injection based on 1 = 1 is always TRUE 2. SQL Injection based on â=â is alsways TRUE 3. SQL Injection based on batched SQL statements
- 46. âĒ SQL Injection Based on ""="" is Always True SELECT * FROM Airport WHERE Airport_code = âDMKâ or 1=1;
- 47. âĒ SQL Injection based on â=â is alsways TRUE
- 48. âĒ SQL Injection based on batched SQL statements