MSSQL数据库安全防范学习笔记

SQLSERVER的默认权限让人真的很头疼，权限大得非常的高，权限小的又什么都做不了，SYSADMIN和db_owner真是让人又爱又恨。攻击者一但确认了网站存在SQLINJECTION漏洞，肯定有一步操作步骤就是测试网站的SQL SERVER使用者具有多大的权限。一般都会借助selectIS_SRVROLEMEMBER(’sysadmin’)，或者select IS_MEMBER(’db_owner’)，再或者用user= 0(让字符和数字进行比较，SQLSERVER就会提示了错误信息，从该信息中即可知道一些敏感信息)等语句进行测试。方法还有，我也不敢多说了。其一怕错，其二怕联盟中的人扁。在当前，如果网站的数据库使用者用的是SA权限，再加上确认了WEB所处在的绝对路径，那么就宣告了你的网站的OVER。db_owner权限也一样，如果确认了绝对路径，那么有50％的机会能给你的机器中上WEB方式的木马，如海阳等。所以这儿我们确认了一点，我们必须要创建自已的权限，让攻击者找不着下嘴的地方。在这儿引用一个SQLSERVER联机帮助中的例子：创建 SQL Server 数据库角色的方法（企业管理器）
创建 SQL Server 数据库角色
1. 展开服务器组，然后展开服务器。
2. 展开"数据库"文件夹，然后展开要在其中创建角色的数据库。
3. 右击"角色"，然后单击"新建数据库角色"命令。
4. 在"名称"框中输入新角色的名称。
5. 单击"添加"将成员添加到"标准角色"列表中，然后单击要添加的一个或多个用户。（可选）只有选定数据库中的用户才能被添加到角色中。对象权限处理数据或执行过程时需要称为对象权限的权限类别：
・ select、insert、update 和 delete 语句权限，它们可以应用到整个表或视图中。
・ select 和 update 语句权限，它们可以有选择性地应用到表或视图中的单个列上。
・ select 权限，它们可以应用到用户定义函数。
・ insert 和 delete 语句权限，它们会影响整行，因此只可以应用到表或视图中，而不能应用到单个列上。
・ EXECUTE 语句权限，它们可以影响存储过程和函数。语句权限
创建数据库或数据库中的项（如表或存储过程）所涉及的活动要求另一类称为语句权限的权限。例如，如果用户必须能够在数据库中创建表，则应该向该用户授予create TABLE 语句权限。语句权限（如 create DATABASE）适用于语句自身，而不适用于数据库中定义的特定对象。
语句权限有：
・ BACKUP DATABASE
・ BACKUP LOG
・ create DATABASE
・ create DEFAULT
・ create FUNCTION
・ create PROCEDURE
・ create RULE
・ create TABLE
・ create VIEW暗示性权限
暗示性权限控制那些只能由预定义系统角色的成员或数据库对象所有者执行的活动。例如，sysadmin 固定服务器角色成员自动继承在 SQLServer 安装中进行操作或查看的全部权限。
数据库对象所有者还有暗示性权限，可以对所拥有的对象执行一切活动。例如，拥有表的用户可以查看、添加或删除数据，更改表定义，或控制允许其他用户对表进行操作的权限。db_owner 在数据库中有全部权限。
db_accessadmin 可以添加或删除用户 ID。
db_securityadmin 可以管理全部权限、对象所有权、角色和角色成员资格。
db_ddladmin 可以发出 ALL DDL，但不能发出 GRANT、REVOKE 或 DENY 语句。
db_backupoperator 可以发出 DBCC、CHECKPOINT 和 BACKUP 语句。
db_datareader 可以选择数据库内任何用户表中的所有数据。
db_datawriter 可以更改数据库内任何用户表中的所有数据。
db_denydatareader 不能选择数据库内任何用户表中的任何数据。
db_denydatawriter 不能更改数据库内任何用户表中的任何数据。在这儿把新建的数据库角色的权限配置好，比如需要使用哪个表、视图、存储过程等。然后把Db_owner和db_securityadmin、db_backupoperator取消，不给攻击者BACKUPDATABASE和createTABLE的机会，一但攻击者具有这两个权限，那么你的网站就还处在十分危险的状态。还有注意一下，在创建数据库账号时，千万不能对服务器角色进行选择。
第四步是修改SQL SERVER内置存储过程。SQLSERVER估计是为了安装或者其它方面，它内置了一批危险的存储过程。能读到注册表信息，能写入注册表信息，能读磁盘共享信息等等……各位看到这儿，心里可能会在想，我的网站中有其它的代码，又不像查询分析器那样能查接将结果输出。给你这个权限，又不能怎么样，还是看不到信息。如果各位这样想就大错特错了。提示一下，如果攻击者有createTABLE的权限，那么创建一个临时表，然后将信息insert到表中，然select出来，接着跟数字进行比较，让SQLSERVER报错，那么结果就全出来了……所以我们要报着宁错杀，不放过的态度进行修补。先来列出危险的内置存储过程：
xp_cmdshell
xp_regaddmultistring
xp_regdeletekey
xp_regdeletevalue
xp_regenumkeys
xp_regenumvalues
xp_regread
xp_regremovemultistring
xp_regwriteActiveX自动脚本：sp_OAcreate
sp_OADestroy
sp_OAMethod
sp_OAGetProperty
sp_OASetProperty
sp_OAGetErrorInfo
sp_OAStop以上各项全在我们封杀之列，例如xp_cmdshell屏蔽的方法为：sp_dropextendedproc
’xp_cmdshell’，如果需要的话，再用sp_addextendedproc ’xp_cmdshell’,
’xpsql70.dll’进行恢复。如果你不知道xp_cmdshell使用的是哪个.dll文件的话，可以使用sp_helpextendedproc

xp_cmdshell来查看xp_cmdshell使用的是哪个动态联接库。另外，将xp_cmdshell屏蔽后，我们还需要做的步骤是将xpsql70.dll文件进行改名，以防止获得SA的攻击者将它进行恢复。我们做到这儿，你的SQLSERVER就基本上安全了。但是信息还是能一样的外泄。毕竟select我们是无法取消的，除非你的网站用的是HTML。SQLINJECTION的防范还需要我们这些程序员来注意，这才是治本之法

停用不必要的存储过程，可能会造成企业管理器一些功能特性的丢失。
xp_regread/ xp_regwrite的移除会影响一些主要功能包括日志和SP的安装



select * from sysusers
Select name,Password from syslogins where password is null order by name
搜索所有用户和查看口令为空的用户