今年6月AcFun彈幕視頻網（俗稱：A站(zhàn)）發布消息稱網站(zhàn)受到黑(hēi)客攻擊，近千萬條用戶數據外洩，包含用戶ID、用戶昵稱、加密存儲的密碼等信息。根據A站(zhàn)官網發布的《關于AcFun受黑(hēi)客攻擊緻用戶數據外洩的公告》，A站(zhàn)曾在2017年7月7日升級了用戶賬号系統，但(dàn)如(rú)果用戶在這個時間之後未登錄過網站(zhàn)，或者密碼加密強度不夠，則賬号仍然會存在洩露的風險。

近幾年的數據洩露事件(jiàn)層出不窮，從2017年雅虎30億用戶信息洩露、Uber 5700萬用戶賬号被竊取，到2018年新年伊始就(jiù)爆出的美國國土(tǔ)安全部雇員信息洩密事件(jiàn)，可(kě)謂一波又一波，這次連二次元世界也不能幸免。縱觀這些數據洩露事件(jiàn)，大部分都指向了信息安全中一個高對抗性的領域：Web應用安全以及背後的數據庫安全。

在今年5月份，Verizon公司剛剛發布了《2018 年數據洩露調查報告》，這也是Verizon連續發布的第11份數據洩露調查報告。在今年的報告中，Verizon團隊一共分析了53,000起事件(jiàn)和2,216起确認的數據洩露事件(jiàn)，詳細分析了數據洩露事件(jiàn)中常用的攻擊方式。報告指出，在這些洩露事件(jiàn)中，大部分的攻擊都指向了Web應用程序：比如(rú)在信息行業，49起洩露事件(jiàn)中有45起通過針對Web應用程序的攻擊而達成，占比超過90%。由此可(kě)見(jiàn)，Web應用安全已經是數據洩露事件(jiàn)的最前線，大量的滲透注入、探測、撞庫、信息竊取都發生(shēng)在Web服務器和數據庫之間。互金類、社交類、遊戲類、娛樂出行類互聯網已經涉足到了我們日常的生(shēng)活中每一個角落，對于這些企業來講，注冊用戶數據作爲網站(zhàn)所有者的核心信息資産，涉及到網站(zhàn)及關聯信息系統的實質業務，一旦洩露，不僅會造成經濟利益上的損失，還(hái)會産生(shēng)巨大的聲討(tǎo)和信任危機(jī)。

首先數據庫的應用相(xiàng)當複雜，掌握起來非常困難。許多數據庫管理員都忙于管理複雜的系統，疏忽了安全隐患和不當配置的檢查，例如(rú)數據庫訪問權限的控制，共用賬号，使用特權賬号sa、system訪問、命令執行的控制。這是由于傳統的安全體系在很大程度上忽略了數據庫安全這一主題，數據庫管理員也通常沒有把安全問題當作他(tā)們的首要任務。

其次，數據的重要性日益劇增，也招緻一些非法人員對數據庫的攻擊，攻擊者一般會通過sql注入、APT等攻擊方法對其進行攻擊，這些漏洞往往不存在數據庫層面上，而在中間件(jiàn)上，傳統的WAF、數據清洗在應對這類靈活的攻擊手段時，由于其本身的局限性，不能做到百分百的安全。