SQLServer 安全10招

最近在研究MSSQLServer的安全问题。总结了十个安全办法：

 

 

一 数据库服务器：

1.密码：请将sa密码设置为谁也记不住的密码。然后用自己创建的用户进行登录，维护，访问。删除安装三个日志中记录的密码：Program FilesMicrosoft SQL Server MSSQL$Install文件夹中的sqlstp.log, sqlsp.log和setup.iss

 

2.不安全的扩展存储过程：xp_cmdshell，可以执行任何命令行下的命令，一定要安全的处理它，当然，你的应用中也可能用到了它；还有其他类的扩展存储过程：注册表访问，OLE操作，日志，邮件，权限登录相关，系统信息等。

 

3.补丁：使用2000版本的，一定要安装sq4，并注意微软发布的最新漏洞补丁。

 

4.仅仅开放你使用的网络库，不用的命名管道，多协议等，都要禁止。将1433端口更改为特殊的端口：让黑客去猜吧！

 

5. 使用NTFS文件格式，确保数据库文件的物理安全。禁用系统的Guest用户，并保持操作系统的安全性。

 

二：应用程序

 

1.防止SQL注入。

 

2.多使用存储过程，视图。尽量不直接访问表。而对存储过程授权，对表禁止访问。

 

3.对应用程序登录信息进行加密，采用双重口令，对所有用户的口令进行加密。

 

4.限制登录的次数。登录失败，甚至禁用登录的ID。

 

5.使用安全套接字SSL进行加密访问：建立CA服务，在客户端颁发证书，强制使用SSL登录。

 

 

评论

1 楼 ideage 2009-01-05  

哈哈,就是谁都别想记住,必须写在密码本上的.