Tải xuống và sử dụng cơ sở dữ liệu từ một nguồn không đáng tin cậy?

Question

Nếu tôi lấy cơ sở dữ liệu (trong trường hợp này cho postgresql) từ một nguồn không tin cậy, có nguy cơ kích hoạt nó và truy vấn nó không?

Answer 1

Có rất nhiều vectơ tấn công có thể có, nếu đó là những gì bạn đang yêu cầu. Dưới đây là một vài điều mà tôi có thể nghĩ ra khỏi đỉnh đầu của tôi:

1. Có thể liên kết đến cơ sở dữ liệu thực sự là một liên kết đến một tập tin PDF hack mà sẽ khai thác một số lỗ hổng trong plugin Acrobat (PDF các plugin được vá, đúng không? đây là thực sự là vectơ tấn công phổ biến gần đây).

2. Nếu nó được nén, có thể đó thực sự là bom zip.

3. Nếu đó là kết xuất nhị phân, có thể nó đang cố gắng khai thác một số lỗi trong quá trình khôi phục.

4. Có thể nó chứa các thủ tục được lưu trữ độc hại sẽ làm giảm cơ sở dữ liệu của bạn hoặc tranh giành mật khẩu của bạn.

5. Có lẽ nó chỉ là một kết xuất văn bản có một loạt các câu lệnh thả trong đó.

Thực tế, nó không phải là quả treo thấp. Postgres là một sản phẩm thích hợp với lượng người xem hạn chế (nhà phát triển thích postgres). Tôi thấy nó không chắc rằng nó một bãi chứa cơ sở dữ liệu sẽ được sử dụng để cung cấp một số loại phần mềm độc hại.

Cho dù đó là "an toàn" phụ thuộc vào những gì "không đáng tin cậy" có nghĩa là trong trường hợp này hay không. Nếu bạn thực sự lo ngại, hãy tải nó lên trong một virtual machine với mạng bị tắt để hạn chế thiệt hại có thể xảy ra.

Answer 2

Seth tạo điểm tốt, nhưng tôi nghĩ rủi ro bảo mật lớn, xấu, lớn nhất sẽ là thủ tục được viết bằng các ngôn ngữ không đáng tin cậy như PL/PythonU. Họ sẽ có quyền truy cập đầy đủ để làm bất cứ điều gì trong hệ thống cơ sở mà ngôn ngữ hỗ trợ và người dùng hệ thống đang chạy Postgres có quyền truy cập vào.

Như Seth chỉ ra, điều này rất khó xảy ra và tải nó lên trong máy ảo là một ý tưởng hay.