来源：eweek.com    作者：Lisa Vaas    

翻译：杨博

【原创文章，版权所有，微点独家发布，合作网站如欲转载，请注明出处“eweek.com”，文章作者“Lisa Vaas”和文章译者！】

随机抽查116万IP地址后，NGSS发现因特网上几乎有50万个数据库服务器没安装防火墙防护，大部分在在microsoft SQL server上，但是有一部分良好的服务器用的是oracle database。

NGSS在11月12日发布的一个报告声称发现368，000个microsoft SQL server和124，000个Oracle 数据库服务器可以在因特网上直接访问。这两个厂商间有492，000个数据库服务器没安装防火墙防护。据这个报告的研究作者David Litchfield称：“这种明显的风险很显然会造成潜在的外部黑客和犯罪分子直接访问系统获得敏感信息”。同时他也质疑：“众所周知oracle 10g之前版本的用户安装时是缺省密码，包括DBA帐户，SQL server早期版本的用户安装时的超级管理员帐户是空密码，不受防护的数据库服务器有多少这种缺省情况？”

不只是没有安装防火墙，很大一部分还没有安装补丁。NGSS调查发现sql server 数据库中运行sql server 2000的82%中只有46%安装了SP4（最新补丁），其它的只安装了SP3或更早的补丁。4%的用户几乎完全没有补丁，这种漏洞可导致和已知授权缺陷"Hello bug"类似的Slammer worm泛滥。oracle 服务器中13%的用户长期没有安装补丁，这可导致黑客可以在没有用户名和密码的情况下访问控制整个系统。

调查还发现很多用户没有安装及时更新，相反他们更期待SP补丁包。例如129个sql server 2000 系统中只有8个可以及时修复，其它的是运行RTM、SP3/3a或 SP4。

这个方法调查了TCP port 1433 (SQL Server) 和 1521 (Oracle)的每个端口。如果这个端口经常开放时版本检查就会进行，并且只准确回复给为了防止误判只有符合上面情况的才会被计数

很多人质疑1160000个ip地址的样本不够大，但是NGSS得调查是抽查了很多私人地址和很多有代表性的当前系统，相当于 3，720，183，560个地址，这个样本已经能够足够精确，2008年的样本将会更大更精确。

2005年NGSS的调查相比起这次来说，SQL server 没安装防火墙保护的数量有明显的增长，这可能sql server和MSDE的安装量有关。同时，2007年oracle没安装防护的比2005年有了很大的降低。