说到sa弱密码，我们首先想到的是很多数据库都有类似的超级管理员账号，比如oracle就是“system & quot和“系统”，Sybase也是“sa & quot，mysql有“root & quot(不是UNIX系统帐户的根目录)。如果没有设置相应的密码，或者你设置的密码强度太低太简单，那么入侵者就可以直接登录攻击数据库服务器，他们甚至可以获得你操作系统的最高级别权限。说到这里，可能有人不信。曾经有人告诉我:“数据库被攻破的次数最多。你的桌子和东西都被别人拿走了。如何才能让对方获得操作系统的最高权限？"其实我不是危言耸听。我就假设sql server 2000的一个数据库的SA密码被破解为例，看看黑客在获得数据库权限后，如何成为系统的管理员。
目前网上有很多这样的工具，不熟悉SQL的人也可以使用。其实根本不需要下载那种工具。只要在微软自己的SQL Server中连接上客户端程序，就可以很轻松的把自己变成整个操作系统的超级管理员。具体流程我给你解释一遍。这里先假设黑客通过其他工具暴力破解了你设置的强度较低的sa账户弱密码，或者你根本没有为sa账户设置密码。首先，黑客打开SQL Server查询分析器，以sa和他刚刚暴力破解的密码登录到您的SQL Server数据库，然后他执行以下语句:
xp _ cmdshell & quotnet用户zxc no password/add & quot；go xp _ cmdshell & quotnet本地组/添加管理员zxc & quot去
这个时候，如果你打开你的电脑管理-本地用户和组-用户，那么你会发现里面有一个新账号，名字叫zxc。检查这个帐号的属性，你会发现它属于administrators组。
这一点大家一定明白了，是的，黑客通过调用SQL Server的系统数据库master中的扩展存储过程xp_cmdshell，轻松地把自己变成了你服务器上的超级管理员，那么他以后还能做什么呢？
所以，如果平时不需要调用这个存储过程，可以考虑删除。当然，不管平时是否调用这个存储过程，都要给自己的sa账号设置一个非常强的密码，这是最根本也是最重要的。您可以打开SQL Server的企业管理器，然后选择安全性-登录，右键单击sa帐户，并选择属性。然后在“属性”对话框中修改与您的sa帐户对应的密码。这里建议你设置的尽量复杂，可以用英文字母结合数字结合特殊符号等。，以防止黑客暴力破解此账号。当然，这项工作最好在你安装你的SQL Server的时候就完成，以免日后人为遗忘造成安全隐患。
关键词:SQL数据库
优侠库网站每天提供最新最热门的安卓手机软件、游戏下载、分享热门手游资讯攻略教程、手机软件教程步骤，专注安卓手机游戏软件下载。本文链接：http://www.123down.cn/gonglue/227422.html
