修改SQL SERVER内置存储过程

2016-01-29 16:28 6 1 收藏

修改SQL SERVER内置存储过程,修改SQL SERVER内置存储过程

【 tulaoshi.com - SQLServer 】

　　SQLSERVER估计是为了安装或者其它方面，它内置了一批危险的存储过程。能读到注册表信息，能写入注册表信息，能读磁盘共享信息等等……各位看到这儿，心里可能会在想，我的网站中有其它的代码，又不像查询分析器那样能直接将结果输出。给你这个权限，也不能怎么样，还是看不到信息。如果各位这样想就大错特错了。提示一下，如果攻击者有CREATE TABLE的权限，那么创建一个临时表，然后将信息INSERT到表中，然SELECT出来，接着跟数字进行比较，让SQL SERVER报错，那么结果就全出来了……所以我们要报着宁错杀，不放过的态度进行修补。
　　
　　先来列出危险的内置存储过程：
　　
　　xp_cmdshell
　　
　　xp_regaddmultistring
　　
　　xp_regdeletekey
　　
　　xp_regdeletevalue
　　
　　xp_regenumkeys
　　
　　xp_regenumvalues
　　
　　xp_regread
　　
　　xp_regremovemultistring
　　
　　xp_regwrite
　　
　　ActiveX自动脚本：
　　
　　sp_OACreate
　　
　　sp_OADestroy
　　
　　sp_OAMethod
　　
　　sp_OAGetProperty
　　
　　sp_OASetProperty
　　
　　sp_OAGetErrorInfo
　　
　　sp_OAStop
　　
　　以上各项全在我们封杀之列，例如xp_cmdshell屏蔽的方法为：
　　
　　sp_dropextendedproc 'xp_cmdshell'
　　
　　如果需要的话，再用
　　
　　sp_addextendedproc 'xp_cmdshell', 'xpsql70.dll'
　　
　　进行恢复。如果你不知道xp_cmdshell使用的是哪个.dll文件的话，可以使用
　　
　　sp_helpextendedproc xp_cmdshel
　　
　　来查看xp_cmdshell使用的是哪个动态联接库。另外，将xp_cmdshell屏蔽后，我们还需要做的步骤是将xpsql70.dll文件进行改名，以防止获得SA的攻击者将它进行恢复。

来源:http://www.tulaoshi.com/n/20160129/1498676.html

上一篇： PS制作高端大气上档次的移动天气界面
下一篇：《超级马里奥银河》操作详细解析(Wii)

看过《修改SQL SERVER内置存储过程》的人还看了以下文章更多>>

SQL Server 存储过程的分页方案比拼

标签： SQLServer

建立表： CREATE TABLE [TestTable] ( [ID] [int] IDENTITY (1, 1) NOT NULL , [FirstName] [nvarchar] (100) COLLATE Chinese_PRC_CI_AS NULL , [LastName] [nvarchar] (100) COLLATE Chinese_PRC_CI_AS NULL , [Country] [nvarchar] (50) COLLATE Chinese_PRC_CI_AS NULL , [Note] [nvarchar] (2000) COLLATE C...

Java中调用SQL Server存储过程示例

标签：编程语言网络编程

最近做了个Java的小项目（第一次写Java的项目哦），到网上搜索了半天，找到了一个比较好点的调用存储过程的例子，而且网上普遍采用的都是setXXX((int parameterIndex, XXX x)的形式。这种形式感觉不是很直观，下面就发布一个完整的采用setXXX(String parameterName, XXX x)的编写方法。创建数据表，存储过程的代码都完整发布。创建...

收藏几段SQL Server语句和存储过程

标签： SQLServer

-- ====================================================== --列出SQL SERVER 所有表，字段名，主键，类型，长度，小数位数等信息 --在查询分析器里运行即可,可以生成一个表，导出到EXCEL中 -- ====================================================== select (case when a.colorder=1 then d.na...

编写SQL Server的扩展存储过程实例

标签： SQLServer

SQL Server 的扩展存储过程，其实就是一个普通的 Windows DLL,只不过按照某种规则实现了某些函数而已。近日在写一个扩展存储过程时，发现再写这类动态库时，还是有一些需要特别注意的地方。之所以会特别注意，是因为DLL运行于SQL Server的地址空间，而SQL Server到底是怎么进行线程调度的，却不是我们能了解的，即便了解也无法控制。我们...

SQL Server 2005 存储过程写报表举例

标签：编程语言网络编程

听说MS SQL 2005自带报表功能，于是我测试了一下，还算比较好用，所以我就录了一个用存储过程来写报表的例子。由于测试过程当中没有语音，所以我在这里讲解一下。使用的存储过程如下（录象中到最后我更改了一下存储过程）：使用的数据库是MS SQL 2000的Northwind数据库，表是orders。 if exists(select * from sysobjects whe...

查看更多精彩>>