【TechTarget中国原创】安全研究领域的权威研究人员David Litchfield曾在07年十一月份发布一份报告，显示数以千计的微软SQL服务器和甲骨文数据库服务器可以通过Internet进行访问，它们缺少关键的更新补丁，很容易受到攻击。

    Litchfield是位于英国的Next Genreration Security软件公司的常务董事。他统计了互联网上没有防火墙保护的微软SQL Server和Oracle数据库服务器的数量。这份名为“数据库暴露调查2007”的报告中指出，约36.8万台微软SQL Server和12.4万台Oracle数据库服务器可以通过Internet直接访问，而且没有防火墙保护。该调查上一次进行的时间是2005年。

    “作者看来，这些结果表明了一个重大的风险”，Litchfield说，“虽然不好说这些系统中有多少是用于商业功能的，但近50万台可访问的服务器无疑让黑客们和罪犯们有机会来获得这些系统的访问权限和敏感信息。”

    Litchfield说，66%的甲骨文数据库服务器运行的版本，是公认容易受到严重攻击的旧版本系统软件。他说，82%的SQL服务器运行的是SQL Server 2000版本，并且仅有46%的运行了补丁程序SP 4,剩下的仅运行了补丁程序SP 3a甚至更低版本。他还说，数据库管理员们并没有安装一些热修复补丁程序（介于两个正式发布的补丁程序之间的小补丁），而是等着正式发布的补丁程序。
 
    “很多数据库管理员可能根本不知道他们的系统可以通过互联网直接进行访问。” Litchfield说。
 
    另外，自从2005年进行过调查后，存在风险的SQL Server数据库的数量明显增加了，Litchfield说。在2005年，没受保护的SQL服务器约有21万，而目前的调查显示有36.8万台存在风险。

    参加了2007年甲骨文开放世界会议（OpenWorld 2007）的数据库管理员们不会惊讶于这项调查结果。很多时候，数据库管理员安装了一个测试服务器，却根本没有意识到服务器可以通过Internet被访问，很容易受到攻击，Tim Spoddard说。Tim是一家中西部零售商的DBA。Spoddard建议，“这是一个很好的提醒：好好检查一下你的系统。在当今这时代，最好隔离攻击区域，防止数据泄露。”

    Andy Lehman是加州圣何塞的一名DBA。他说大部分可以通过互联网访问的数据库服务器可能不包含敏感信息。尽管如此，它们仍应该被锁定，而且还应该与关键系统分离。

    “如果它们不更新并且存在关键的缺陷，那么尽管他们本身并没有什么值得盗取的信息，但它们仍可以作为攻击者的跳板。”他说。

    Litchfield说，数据库服务器应该经过测试来保证它们不能通过互联网来访问。同时，应该由防火墙来控制所有从外部对数据库服务器的访问，防火墙应仅允许设置好的一部分IP地址或地址段访问。