mysql数据库下载缝隙，现在已经被越来越多的人所熟知。在这个信息化技能更新飞快的时代，缝隙产生后随之而来的就是各种应对的招数，比如改数据库的后缀、修改数据库的姓名等等。很多人以为只要这么做就能够解决问题了，但现实往往不如你我所愿，即使你这么做了也难逃被高手攻击的命运。为此咱们有必要去了解一些攻击的手法，来增强自己的安全技能。

1．强制下载后缀名为ASP、ASA的数据库文件

大多数的网管为了节省时间，网站上的文章系统、论坛等程序都是直接下载别人的源程序再经过部分修改后运用的。而现在很多人做的ASP源程序都已经将数据库的后缀由原先的MDB改为了ASP或ASA。本来这是好事，但在这个信息极度膨胀的社会，老的方法所能维持的时间毕竟有限。对于ASP或ASA后缀的数据库文件，黑客只要知道它们的存放位置，就能轻易地用迅雷这么的下载软件下载得到。图1即笔者利用迅雷下载到的数据库文件（注意数据库的后缀为ASP）。

2．致命符号——＃

很多网管以为在数据库前面加个#号就能够防止数据库被下载。是啊，我当时也认为IE是无法下载带有#号的文件的(IE会自动忽略#号后面的内容)。但是“成也萧何，败也萧何”，咱们忘记了网页不仅能经过普通的方法访问，并且用IE的编码技能也能访问到。

在IE中，每个字符都对应着一个编码，编码符%23就能够替代#号。这么对于一个只是修改了后缀并加上了#号的数据库文件咱们依然能够下载。比如#data.mdb为咱们要下载的文件，咱们只要在浏览器中输入%23data.mdb就能够利用IE下载该数据库文件，这么一来，#号防御手段就形同虚设一般。

3．破解Access加密数据库易如反掌

有些网管喜欢对Access数据库进行加密，以为这么一来就算黑客得到了数据库也需要暗码才干翻开。但现实正好相反，因为Access的加密算法太脆弱，所以黑客只要随便到网上找一个破解Access数据库暗码的软件，不用几秒钟就能得到暗码。这么的软件网上有很多，比如Accesskey。

4.瞬杀——数据暴库技能

本身数据库暴库技能应该是属于脚本缝隙的行列，之所以拿到这里来说是因为它在数据库下载缝隙中起到了举足轻重的效果，如果仔细一点，读者会发现上面的窍门都是假定知道数据库名的情况下才干实施的。但很多时候咱们根本不可能知道数据库的姓名，这时咱们可能会感到很沮丧，觉得无法再进行下去，但数据库暴库技能的出现不仅能够一扫咱们的沮丧情绪，也能让咱们真正地将前面的技能综合起来利用。

很多人在用ASP写数据连接文件时，总会这么写(conn.asp)：

……  
db="data/rds_dbd32rfd213fg.mdb" 
Set conn = Server.CreateObject("ADODB.Connection")  
connstr="Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath(db)  
conn.Open connstr  
function CloseDatabase  
Conn.close  
Set conn = Nothing  
…… 
这段语句看上去觉得并没什么问题，并且数据库的姓名取得很怪，如果没有数据库暴库技能咱们能猜到这么的数据库名的几率几乎为零。但就是这么简略的语句却隐藏着无限的信息。能够说网上绝大部分的程序都存在这个缝隙。咱们只要将地址栏上在数据连接文件conn.asp(一般为这个)前的/用%5c替代就能够暴到数据库的位置，接下来的事情应该不需要我说了吧？大家只要开动脑筋没有什么事情是做不成的。