MSSQL数据库在服务器中安全设置方法与步奏.docVIP

MSSQL数据库在服务器中的安全设置方法及步奏?? HYPERLINK /newweb/sjk/ MSSQL数据库对于网络的运营起着至关重要的作用，站长们在这里也要有所了解，那么MSSQL数据库在服务器中该怎样设置呢？专职优化、域名注册、网站空间、虚拟主机、服务器托管、vps主机、服务器租用的中国信息港在这里为你做详细介绍！ 第一步肯定是打上SQL SERVER必威体育精装版的安全补丁.如果这一步都没有做好，那我们也没有继续下去的必要了。 第二步是 修改默认的1433端口，并且将SQL SERVER隐藏。这样能禁止对试图枚举网络上现有的 SQL Server 客户端所发出的广播作出响应。另外，还需要在TCP/IP筛选中将1433端口屏蔽掉，尽可能的隐藏你的SQL SERVER数据库。这样子一但让攻击创建了SQL SERVER的账号，也不能马上使用查询分析器远程登陆来进行下一步的攻击。单从ASP，PHP等页面构造恶意语句的话，还有需要查看返回值的问题，总比 不上直接查询分析器来得利落。所以我们首先要做到即使让别人注入了，也不能让攻击者下一步做得顺当。修改方法：企业管理器 -- 你的数据库组 -- 属性 -- 常规 -- 网络配置 -- TCP/IP -- 属性 ，在这儿将你的默认端口进行修改，和SQL SERVER的隐藏。 第三步是 很重要的一步，SQL INJECTION往往在WEB CODE中产生。而做为系统管理员或者数据库管理员，总不能常常的去看每一段代码。即使常常看代码，也不能保证我们在上面的疏忽。那怎么办?我们就要从数 据库角色着手，让数据库用户的权限划分到最低点。SQL SERVER的默认权限让人真的很头疼，权限大得非常的高，权限小的又什么都做不了，SYSADMIN和db_owner真是让人又爱又恨。攻击者一但确 认了网站存在SQL INJECTION漏洞，肯定有一步操作步骤就是测试网站的SQL SERVER使用者具有多大的权限。一般都会借助Select IS_SRVROLEMEMBER(sysadmin)，或者Select IS_MEMBER(db_owner)，再或者用user = 0(让字符和数字进行比较，SQL SERVER就会提示了错误信息，从该信息中即可知道一些敏感信息)等语句进行测试。方法还有，我也不敢多说了。其一怕错，其二怕联盟中的人扁。在当前， 如果网站的数据库使用者用的是SA权限，再加上确认了WEB所处在的绝对路径，那么就宣告了你的网站的OVER。db_owner权限也一样，如果确认了 绝对路径，那么有50%的机会能给你的机器中上WEB 方式的木马，如海阳等。所以这儿我们确认了一点，我们必须要创建自已的权限，让攻击者找不着下嘴的地方。在这儿引用一个SQL SERVER联机帮助中的例子： 　　创建 SQL Server 数据库角色的方法(企业管理器) 　　创建 SQL Server 数据库角色 　　1. 展开服务器组，然后展开服务器。 　　2. 展开数据库文件夹，然后展开要在其中创建角色的数据库。 　　3. 右击角色，然后单击新建数据库角色命令。 　　4. 在名称框中输入新角色的名称。 　　5. 单击添加将成员添加到标准角色列表中，然后单击要添加的一个或多个用户。(可选) 　　只有选定数据库中的用户才能被添加到角色中。 　　对象权限 　　处理数据或执行过程时需要称为对象权限的权限类别： 　　· Select、Insert、Update 和 Delete 语句权限，它们可以应用到整个表或视图中。 　　· Select 和 Update 语句权限，它们可以有选择性地应用到表或视图中的单个列上。 　　· Select 权限，它们可以应用到用户定义函数。 　　· Insert 和 Delete 语句权限，它们会影响整行，因此只可以应用到表或视图中，而不能应用到单个列上。 　　· EXECUTE 语句权限，它们可以影响存储过程和函数。 　　语句权限 　 　创 建数据库或数据库中的项(如表或存储过程)所涉及的活动要求另一类称为语句权限的权限。例如，如果用户必须能够在数据库中创建表，则应该向该用户授予 Create TABLE 语句权限。语句权限(如 Create DATABASE)适用于语句自身，而不适用于数据库中定义的特定对象。 　　语句权限有： 　　· BACKUP DATABASE 　　· BACKUP LOG 　　· Create DATABASE 　　· Create DEFAULT 　　· Create FUNCTION 　　· Create PROCEDURE 　　· Create RULE 　　· Create TABLE 　　· Create VIEW 　　暗示性权限 　　暗示性权限控制那些