网络安全课程设计(2)

3.3 SQL Server 安全设置

3.3.1、数据库系统安全

数据库系统安全是指为数据库系统建立安全保护措施，以保护数据库系统软件和其中的数据不因偶然和恶意的原因而遭到破坏、更改和泄漏。由于大多数Web 应用程序都需要使用数据库，于是，数据库就成了最常见的攻击目标之一。SQL Server 2000 数据库中存在着账号和密码过于简单的现象，为了数据的安全，应该对其进行一定的设定，并且养成查看日志的习惯。

数据库的建立和使用极大的方便了人们对数据的管理和应用，同时数据的稳定性和可恢复至关重要，因此要定期对数据库进行备份。 3.3.2、SQL Server2000 数据库安全配置 1．使用安全的密码策略

（1）很多数据库账号的密码过于简单，这跟系统密码过于简单是一个道理。对于 sa 更应该注意，同时不要让 sa 账号的密码写于应用程序或者脚本中。健壮的密码是安全的第一步。同时养成定期修改密码的好习惯。数据库管理员应该定期查看是否有不符合密码要求的账号。

首先单击“开始”|“程序”|“Microsoft SQL Server”|“查询分析器”，输入密码“sa”,如图所示:

然后点击“确定”按钮，如图所示：

在“查询分析器”窗口使用并执行下面的 SQL 语句： Use master

Select name,Password from syslogins where password is null

（2）设置 SA 用户的密码，请按下列步骤操作：

单击“开始”|“程序”|“Microsoft SQL Server”|“企业管理器”，展开服务器组，然后展开服务器。如图：

展开安全性，然后点击登陆。

在细节窗格中，右键点击 SA，然后点击属性。

在密码方框中，输入新的密码。

2．使用安全的账号策略

由于 SQL Server 不能更改 sa 用户名称，也不能删除这个超级用户，所以，我们必须对这个账号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数据库应用中使用 sa 账号，只有当没有其它方法登陆到 SQL Server 实例（例如，当其它系统管理员不可用或忘记了密码）时才使用 sa。建议数据库管理员新建立一个拥有于 sa 一样的权限的超级用户来管理数据库。安全的账号SQL Server 的认证模式有 Windows 身份认证和混合身

份认证两种。如果数据库管理员不希望操作系统管理员通过操作系统登陆来接触数据库的话，可以在账号管理中把系统账号“BUILTIN\\Administrators”删除（如下图）。不过这样做的结果是一旦 sa 账号忘记密码的话，就没有办法来恢复了。很多主机使用数据库应用只是用来做查询、修改等简单功能的，请根据实际需要分配账号，并赋予仅仅能够满足应用要求和需要的权限。比如，只要查询功能的，那么就使用一个简单的 public 账号能够 select 就可以了。

3．查看数据库日志

请定期查看 SQL Server 日志检查是否有可疑的登陆事件发生，如下图。

4．管理 SQL Server 内置存储过程 xp_cmdshell 控制系统

（ 1 ） 打 开 sql 查 询 分 析 器 ， 输 入 要 访 问 的 数 据 库 地 址 （ 如 ：192.168.JXZ.JXZx），然后点击确定。如下图：

利用 SA 弱口令登陆 SQL Server 服务。

（2）在新的窗口中输入：xp_cmdshell \；并按 F5 执行查询。如下图： （3）查看返回结果，如下图：

（4）试图建立新用户

输入：xp_cmdshell \后将添加一个 mytest用户，密码为 123456，类似效果如下图：

然后，可以输入：xp_cmdshell \查看用户列表，类似效果如下图：