MySQL “Query” может быть использован (при обработке к Серверу)?
2 проблемы для размышления о для входящей почты к новому Exchange Server:
DNS записи MX
Записи MX DNS ответственны за управление, куда электронная почта для Вашего домена идет. Когда другие хосты в Интернете должны будут послать электронное письмо пользователям в Вашем домене, они будут искать записи MX, опубликованные для того домена, и они перечислят один или несколько хостов, которые примут ту почту. Для маршрутизации почты Вам необходимо только установить запись MX, которая указывает на имя хоста сервера и затем должна иметь сопровождение записи для того имени хоста, которое указывает на внешний IP-адрес серверов Exchange. Это отклонит почту к Вашему серверу. Обратите внимание, что, после того как Вы вносите изменение, Вы начнете получать некоторую почту довольно быстро, но некоторые хосты в Интернете не будут видеть изменений DNS в течение целых 48 часов, таким образом, некоторая почта будет, вероятно, все еще сочиться в к старой среде. Вы могли уменьшить влияние этого эффекта путем изменения TTL на DNS к 5 минутам пара дней заранее, но это кажется, что у Вас нет той роскоши.
Вы могли сделать, как другие предположили и "хлебают" почту от старого хоста до Вашего нового Exchange Server через коннектор POP, но действительно, это - плохой взлом, и не один я рекомендовал бы длительный срок. В какой-то момент лучше указать на Ваш MX на Ваше собственное поле.
Exchange
Существует две вещи посмотреть на в обмен. Прежде всего, чтобы Exchange получил почту для определенного домена, тот домен должен быть добавлен к политике получателя. Сделайте это сначала. Во-вторых, необходимо добавить адреса электронной почты к почтовым ящикам, которые Вы создали так, чтобы пользователям позволили получить почту в их почтовых ящиках.
Это - общий обзор. Необходимо читать на каждом из этих компонентов для получения дополнительной информации о них. Я не могу предоставить Вам больше подробной информации, не пишущий книгу здесь. Если Вы действительно собираетесь управлять своим собственным почтовым сервером, Вы оказываетесь перед необходимостью узнавать об этом материале, или Вы подвергаете электронную почту своей компании опасности. Откровенно говоря, это не кажется, что Вы технически достаточно сильны все же для хостинга собственного почтового сервера. Знание Ваших пределов важно! Можно абсолютно сделать это - просто должен учиться немного больше.
Возможно, в зависимости от того, используете ли вы вводимые пользователем данные в своем запросе.
Например, следующее код может быть уязвимым. Обратите внимание, что он принимает пользовательский ввод из $ _ POST ['UnsanitisedInput'] и напрямую использует его в запросе, не очищая его чем-то вроде mysql_real_escape_string () .
$result = mysql_query('SELECT Stuff FROM Things WHERE Widget = ' . $_POST['UnsanitisedInput']);
Для запроса, подобного один, который вы разместили, но который не требует ввода данных пользователем, его нельзя изменить, если, конечно, ваш сервер не скомпрометирован.
Если вы хотите еще немного почитать по этой теме, этот вид атаки называется SQL-инъекция .
Все возможно, в зависимости от ваших настроек. Другие люди уже писали о возможном внедрении sql, когда вы не проверяете ввод пользователя, но что, если у вас есть запрос без ввода пользователя?
Связь по сети может подвергаться тем же атакам MITM, что и многие другие сетевые протоколы если сеть скомпрометирована, заставляя вас думать, что вы подключаетесь к своему серверу, когда вы на самом деле подключаетесь к другому серверу.
Если вы разговариваете с локальным сервером mysql, используя mysql.sock , то если сам сервер скомпрометирован, файл mysql.sock можно заменить файлом сокета, который взаимодействует с поддельным сервером mysql (который может изменить запрос и отправить его на настоящий сервер mysql или отправить его на реальный сервер mysql и измените результаты перед их возвратом).
Атакует человек посередине, возвращая данные из сервер может быть легко взломан, поэтому запустите SSL (хотя теория SSLStrip не делает это надежным).
Что касается редактирования запроса между конечным пользователем и страницей PHP, на самом деле нет, если у вас нет места где-то еще на вашем сайте, которое позволяет им редактировать ваш PHP. Также я думаю, что данные между PHP и MySQL по умолчанию не зашифрованы, вы можете либо туннелировать это (безумный уровень безопасности), либо запустить SSL MySQL IIRC.
Он может иметь в виду атаку с использованием SQL-инъекции, которая может быть использована для изменения запроса, если вы используете необработанный пользовательский ввод непосредственно в своих запросах, например
$query = 'SELECT * FROM table WHERE id = ' . $_GET['id'];
mysql_query($query);
Здесь вы используете '`$ _GET ['id'] напрямую, значение которого вы не можете гарантировать. Вместо этого вы должны сделать это так.
$query = 'SELECT * FROM table WHERE id = ' . mysql_real_escape_string($_GET['id']);
mysql_query($query);
В остальном, вопрос о том, что злоумышленник изменяет фактический запрос на пути через сеть, возникает только ЕСЛИ,
- WebServer (с кодом PHP) и серверы базы данных разделены и ,
- запросы проходят через Интернет НЕ только через частную сеть.
- И в этом случае вы не используете SSL для соединения с базой данных.
Если что-либо из вышеперечисленного неверно, ответ будет
НЕТ, злоумышленник не может изменить ваш запрос ИЛИ результат между базой данных и WebServer
Таким образом, если вы запрашиваете сервер БД через общедоступный Интернет, вы можете использовать SSL, чтобы избежать любого перехвата или подделки сетевых пакетов.
Обновление
Под обработкой подразумевается передача между БД и серверами приложений, верно ? Или вы имеете в виду в памяти сервера, например, вмешательство в память процесса MySQL / PHP?
Я рассмотрел вышеупомянутую проблему с сетью.
В соответствии с изменением запроса ВО ВРЕМЯ его обработки, ЭТО может быть выполнено только с помощью собственного процесса что хакер может установить только в том случае, если ваш сервер был взломан.
В этом случае злоумышленнику не нужно проходить через все эти проблемы, поскольку он может просто редактировать ваши файлы PHP.