从不受信任的来源下载和使用数据库？

Question

如果我要从不受信任的来源获取数据库(在本例中为postgresql),是否存在激活它并查询它的风险？

Answer 1

如果您想问的话，那里有很多可能的攻击媒介。以下是我能立即想到的一些内容：

1. 也许数据库的链接实际上是一个被黑客攻击的 PDF 文件的链接，该文件将利用您的 Acrobat 插件中的某些漏洞（您的 PDF 插件已修补，对吧？这是最近非常流行的攻击媒介）。

2. 如果它是拉链的，也许它真的是一个拉链炸弹。

3. 如果它是二进制转储，则可能它试图利用恢复过程中的某些错误。

4. 也许它包含恶意存储过程，会删除您的数据库或扰乱您的密码。

5. 也许这只是一个文本转储，其中有一堆 drop 语句。

实际上，这并不完全是唾手可得的成果。Postgres 是一个小众产品，受众有限（喜欢 Postgres 的开发人员）。我发现数据库转储不太可能被用来传递某种恶意软件。

它是否“安全”取决于“不可信”在这种情况下意味着什么。如果您确实担心，请将其加载到关闭网络的虚拟机中，以限制可能的损坏。