20CN网络安全小组论坛 - 菜鸟乐园 - 如何远程补上sa空密码的漏洞？请教真高手。

论坛: 菜鸟乐园标题: 如何远程补上sa空密码的漏洞？请教真高手。

复制本贴地址

作者: lanma [lanma]

论坛用户

如何远程补上sa空密码的漏洞？本地没有装sqlserver。如果装了，又有什么办法吗？

BTW:如果能够在sql里添加一个自己的用户名(或者改了sa的密码），不是一劳永逸吗？但如何做呢？think....

地主发表时间: 1/2 15:57

回复: group [group]

论坛用户

by Sinbad 10/13/2k http://sinbad.dhs.org
　　今年8月份Bugtraq上曾经贴过一段程序linsql.c，可以远程连接空密码sa账号的MS SQL Server，通过调用'xp_cmdshell'存储过程执行系统命令。微软就此给出了三条安全建议：
　　1）使用NT账号认证，而不用混合模式认证。判断你的SQL Server采用哪种认证方式的步骤为：启动SQL Enterprise Manager，右击服务器选择“属性”，在标签“security”的就可以看到详细信息。
　　2）如果你必须以混合模式运行SQL Server，必须为sa账号设定一个强壮的密码。可以在SQL query窗口中为sa设定一个密码： exec sp_password null, 'complexpwd', sa 记得2911.net刚开放个人主页服务的时候，存放用户信息的SQL Server的sa密码就是为空。
　　3）在你的路由器/防火墙上限制外来SQL端口（1443）的连接。TCP 1443是SQL远程通信的默认端口，管理员可以修改这个端口数值。如果不能过滤1443端口，建议使用IPSec（Win2K）或Advanced IP Security filters（NT4）来限制连接。
　　注：
　　1。SQL Server 2000默认使用NT账号认证，如果要使用混合模式认证，安装程序将要求用户为sa账号设定一个不为空的密码。
　　2。关于安全配置SQL Server7.0的更多信息，请参考以下文档：
http://www.microsoft.com/technet/SQL/Technote/secure.asp
※ 来源:．辛巴达 sinbad.dhs.org. [FROM: WWW]

B1层发表时间: 1/2 16:53

论坛: 菜鸟乐园