关于服务器的SQL及MySQL的安全问题

   昨天晚上9点半左右,服务器被 天使 善意入侵并创建了管理员权限.
我一向自认为服务器很安全,目录权限、shell组建 我都控制很严格,想
通过webshell入侵服务器 甚至提权,那是根本不可能的!但是我却忽视了
SQL2000 和 mySQL的安全性.

    根据SQL 2000 的自身特点,需要运行在普通用户权限下,否则就会有
严重的安全问题(其实MySQL也一样,也要运行在普通用户权限下才安全).
通过今天一下午学习 和 星外的网管帮助下,了解到 如果不将 SQL 2000
使用普通用户启动,那么数据库用户可以用backup Database指令上传木马
到何任system用户有写入权限的目录中!!后果可想而知了......

下面是解决办法:

1．　计算机管理 -- 建立用户及密码
2．　在sql 2000企业管理器中配置该用户启动；
3．　在分配其他必须权限（如果SQL无法启动）


然后设置安装有 SQL2000 的盘权限,如:D盘

D盘需要以下权限：

D:\administrators 全部权限

System 全部权限

IIS_WPG只读与运行的权限(只应用在当前文件夹)

SQL2000的运行用户(只应用在当前文件夹)
列出文件夹/读数据
读属性
读扩展属性
读取权限


D:\Program Files\Microsoft SQL Server  (SQL数据库安装目录)
administrators 全部权限
System 全部权限
SQL2000的运行用户全部权限(该文件夹、子文件夹及文件夹)


这儿说的"SQL2000的运行用户"，就是在SQL 2000企业管理器，
属性中的安全中设置的用户，默认一般是System

文章来自: 本站原创
引用通告: 查看所有引用 | 我要引用此文章
Tags:
相关日志: