Brad Sarsfield在此再次分享我对David Litchfield在BlueHatv3演讲的看法。David Litchfield是Next Generation Security Software（NGS）的首席研究科学家，于3月9日向超过600人的满座观众发表了演讲。David带领我们回顾了他对数据库安全领域当前状态的思考，并讨论了他当前的研究领域和焦点。

David没有讨论具体的数据库漏洞，而是展示了颠覆数据库应用程序逻辑以攻击数据库的概念。David谈到了数据库内的SQL注入，以及数据库内的二阶SQL注入；即您将数据存储在数据库中，随后在易受SQL注入攻击的地方使用它。

David讨论了系统存储过程和触发器可能存在的危险，这些可能易受SQL注入攻击。由于触发器在所有者的权限下执行；如果一个人能找到易受SQL注入攻击的触发器，权限边界可以被跨越，并用于在数据库内获得权限提升。

如果您有权访问数据库，并且存储过程或触发器中存在SQL注入漏洞，该存储过程或触发器在您的权限边界之外运行，恶意用户可能利用易受攻击的存储过程授予自己本不应拥有的权限。

归根结底：

工具是不够的。您的数据库和应用程序设计需要有清晰的前瞻性思考。工具是一个好的起点，但不要依赖它们来捕捉所有错误。（这正是我们自己的安全专家一直告诉我们的）

触发器可能很危险。仔细思考如何使用它们。

即使低风险问题也应受到尊重。

如果您对David Litchfield的工作感兴趣，我强烈建议阅读他合著的一本书《数据库黑客手册：防御数据库服务器》（ISBN：0764578014）。