 |
|
|
 首页 |
名片设计 CorelDRAW Illustrator AuotoCAD Painter 其他软件 Photoshop Fireworks Flash |
|
SQLSERVER估计是为了安装或者其它方面，它内置了一批危险的存储过程。能读到注册表信息，能写入注册表信息，能读磁盘共享信息等等……各位看到这儿，心里可能会在想，我的网站中有其它的代码，又不像查询分析器那样能直接将结果输出。给你这个权限，也不能怎么样，还是看不到信息。假如各位这样想就大错特错了。提示一下，假如攻击者有CREATE TABLE的权限，那么创建一个临时表，然后将信息INSERT到表中，然SELECT出来，接着跟数字进行比较，让SQL SERVER报错，那么结果就全出来了……所以我们要报着宁错杀，不放过的态度进行修补。 先来列出危险的内置存储过程： xp_cmdshell xp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumkeys xp_regenumvalues xp_regread xp_regremovemultistring xp_regwrite ActiveX自动脚本： sp_OACreate sp_OADestroy sp_OAMethod sp_OAGetProperty sp_OASetProperty sp_OAGetErrorInfo sp_OAStop 以上各项全在我们封杀之列，例如xp_cmdshell屏蔽的方式为： sp_dropextendedproc \\\'xp_cmdshell\\\' 假如需要的话，再用 sp_addextendedproc \\\'xp_cmdshell\\\', \\\'xpsql70.dll\\\' 进行恢复。假如你不知道xp_cmdshell使用的是哪个.dll文件的话，可以使用 sp_helpextendedproc xp_cmdshel 来查看xp_cmdshell使用的是哪个动态联接库。另外，将xp_cmdshell屏蔽后，我们还需要做的步骤是将xpsql70.dll文件进行改名，以防止获得SA的攻击者将它进行恢复。 返回类别: 教程 上一教程: MYSQL数据互导大全 下一教程: MYSQL 5.0 新特性教程 存储过程:第二讲 您可以阅读与"修改SQL SERVER内置存储过程"相关的教程: · 编写安全的SQL SERVER扩展存储过程 · 在SQL Server存储过程中执行DTS包 · SQL SERVER编写存储过程小工具(一) · SQL SERVER编写存储过程小工具(二) · SQL SERVER存储过程/函数加/解密 |
  |
| 快精灵印艺坊 版权所有 |
首页 会员中心在线印刷在线编辑付款方式索取样品设计指南连锁门店
|
||
