Access MDB 資料庫安全防護：防止非法下載的實戰技巧

MDB 資料庫面臨的安全危機

採用「IIS + ASP + Access」架構的中小型網站極為普遍，但 .mdb 檔案預設無任何存取控制。駭客只要猜測或掃描出資料庫路徑，即可直接下載檔案，再搭配暴力破解工具即可讀取敏感資料。即使設定資料庫密碼並對管理員密碼進行 MD5 雜湊，離線破解仍屬可能。

常見但不夠完善的防護手段

1. 更改檔名與深層目錄隱藏：如改為 Sj6gf5.mdb 並置於多層子目錄。缺點：ASP 原始碼外洩時即失效。
2. 修改副檔名為 .asp/.asa：企圖讓 IIS 當作腳本執行而非下載。缺點：專業下載工具仍可下載；攻擊者可批量下載嘗試改回 .mdb。

進階防護策略：迷惑與替代法

利用 Unicode 編碼阻擋下載工具

測試發現：命名為 #admin.asa 可阻擋 IE 直接下載，但 FlashGet 等工具仍可下載。利用下載工具會「自作聰明」解碼 Unicode 的特性：

• 提交含 %29 (對應 ')') 的下載連結：https://site/data/%29xadminsxx.mdb
• FlashGet 會將其解碼為 (xadminsxx.mdb 並嘗試下載該檔名
• 實際伺服器上無此檔名，下載失敗

蜜罐檔案策略

既然下載工具會尋找解碼後的檔名，主動建立同名的假資料庫檔案 (xadminsxx.mdb)，內容為空或虛假資料。駭客以為得手實則拿到無用資料，達到「迷惑法」與「替代法」雙重防護。

核心防護原則總結

1. 迷惑法：改變駭客預期的檔名、副檔名、路徑結構，增加猜測成本。
2. 替代法：部署假象檔案（蜜罐），讓駭客在誤以為成功時實際獲得無用資訊，降低持續攻擊動機。

補充建議

• 將資料庫移至 Web 根目錄外，透過 DSN-less 連線字串存取
• 啟用資料庫層級密碼並使用強雜湊演算法（bcrypt/Argon2）儲存使用者密碼
• 定期審核 IIS 日誌偵測異常下載行為
• 條件允許時遷移至 SQL Server Express 或 SQLite 等具備存取控制的引擎