SQL 安全问题请指教

[好奇都是要学的]

查看登陆日志发现一天上千条登陆失败都是用SA登陆。 请问大神们如何把数据库弄的更安全些。
我现在是禁止SA登陆，然后创建了个用户，创建的用户只能访问用户库，给对应的权限。
大神都是怎么设置的啊，SA账号是不是都不用或者直接删除SA账号。下面是我设计。其他用户需要禁用吗。

[IEEE_China]

抬杠不至于。 既然这方面你觉得没问题，就找找是不是其他方面有什么漏洞。 我习惯参数化，尽量避免出现各种 是个人拿个工具就能攻击的漏洞。

[OwenZeng_DBA]

@二月十六 可以给推荐一下

[幻影时空]

赞同， 参数化是很有必要的， 不仅从安全和代码维护 上都是更方便。 还是需要习惯。。 防安全，还可以 改端口（虽然也可以被扫描到），但设防止墙指定IP 可访问呀。都可以呢。

[好奇都是要学的]

引用 41 楼 yenange 的回复:

你的数据库， 目前有没有禁止远程访问？

没有。以后会关闭 远程登录， 不用SA用户

[好奇都是要学的]

引用 43 楼 z10843087 的回复:

@二月十六 可以给推荐一下

你还没回答， 我像上面那样设置个新用户可以吗？如果不行，你教教我应该怎么设置

[好奇都是要学的]

引用 46 楼 VisionSpace 的回复:

赞同， 参数化是很有必要的， 不仅从安全和代码维护 上都是更方便。 还是需要习惯。。 防安全，还可以 改端口（虽然也可以被扫描到），但设防止墙指定IP 可访问呀。都可以呢。

、 参数化工作很慢。所以我才想弄个 防注入的。 端口号都改了

[吉普赛的歌]

引用 47 楼 wang2129929 的回复:

[quote=引用 41 楼 yenange 的回复:] 你的数据库， 目前有没有禁止远程访问？

没有。以后会关闭 远程登录， 不用SA用户[/quote] 这个最薄弱的环节都不禁止…… 不应是以后再做， 而是立即就做。 不是什么 sa 的问题， 远程根本就不该开启。 为了方便开启sql远程登录， 最终害了自己的。方便有时就是危险的同义词。 没有经验丰富的运维人员协助你， 凡事都尽量从更安全的角度去考虑。

[卖水果的net]

找到尝试用 sa 登录的 IP 地址，启用防火墙，屏蔽它。

[OwenZeng_DBA]

引用 48 楼 wang2129929 的回复:

[quote=引用 43 楼 z10843087 的回复:] @二月十六 可以给推荐一下

你还没回答， 我像上面那样设置个新用户可以吗？如果不行，你教教我应该怎么设置[/quote] 就这么设置就可以。其它用户不用禁用，其它的都是window 登录账号了.

[文盲老顾]

除了3389这个远程服务之外，其他可远程操作的东西都用IPSec来设置一下IP范围，只允许指定的IP访问相关的端口

[好奇都是要学的]

http://fy.zsplaying.com/ http://fy.zsplaying.com/phone/login.aspx http://fy.zsplaying.com/agent/login.aspx 这是我的网站。 3个登陆页面。 看看谁能攻击进去

[好奇都是要学的]

引用 52 楼 z10843087 的回复:

[quote=引用 48 楼 wang2129929 的回复:] [quote=引用 43 楼 z10843087 的回复:] @二月十六 可以给推荐一下

你还没回答， 我像上面那样设置个新用户可以吗？如果不行，你教教我应该怎么设置[/quote] 就这么设置就可以。其它用户不用禁用，其它的都是window 登录账号了.[/quote] 谢谢

[好奇都是要学的]

引用 53 楼 superwfei 的回复:

除了3389这个远程服务之外，其他可远程操作的东西都用IPSec来设置一下IP范围，只允许指定的IP访问相关的端口

最近在看IPSEC配置。 安全策略组里的吧

[删库到跑路]

我觉得的还是程序和DB分开，断了外网访问数据库，改端口，参数化和防火墙设置更是需要 如果发现有ip在扫你就直接换端口或者用路由，防火墙屏蔽

[甲乙丙75]

[qq_42061115]

CodeForge的这个代码或许可以解答你的问题 http://www.codeforge.cn/article/300712

[OwenZeng_DBA]

引用 62 楼 wang2129929 的回复:

[quote=引用 51 楼 wmxcn2000 的回复:] 找到尝试用 sa 登录的 IP 地址，启用防火墙，屏蔽它。

引用 43 楼 z10843087 的回复:

@二月十六 可以给推荐一下

请问SQL里 varbinary类型的列 能用来当where 条件吗？ select * from BigSettlement where SettlementData='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数值没错。 但是取不到值[/quote] 可以，去掉引号。

[好奇都是要学的]

引用 43 楼 z10843087 的回复:

@二月十六 可以给推荐一下

请问SQL里 varbinary类型的列 能用来当where 条件吗？ select * from BigSettlement where SettlementData='0x10780B0068026B0000005BE58D83E588865D205B33E4BABAE58D83E588865D20E4BF9DE79599362C372C20E5969CE58886E58AA02C20E5A5963130302CE689A334302C36302C20E5A596E58AB13130302C20E4B88AE6B8B8E5BE97E5A5962C20E688BFE4B8BBE5BC80E688BF2020E7ACAC31E5B1800000000003000000F84300000000000000000000040000000C000000E782B8E5BCB9E58886E695B0000000000000000009000000E680BBE7A7AFE5888600000000000000000C000000E59B9BE8888DE4BA94E585A500000000000000000C000000E5B0BEE5B180E5A596E58AB10000000000000000F74300000000000000000000040000000C000000E782B8E5BCB9E58886E695B0000000000000000009000000E680BBE7A7AFE5888600000000000000000C000000E59B9BE8888DE4BA94E585A500000000000000000C000000E5B0BEE5B180E5A596E58AB100000000000000000B0000000000000000000000040000000C000000E782B8E5BCB9E58886E695B0000000000000000009000000E680BBE7A7AFE5888600000000000000000C000000E59B9BE8888DE4BA94E585A500000000000000000C000000E5B0BEE5B180E5A596E58AB10000000000000000F843000000000000' 数值没错。 但是取不到值

[好奇都是要学的]

引用 51 楼 wmxcn2000 的回复:

找到尝试用 sa 登录的 IP 地址，启用防火墙，屏蔽它。

引用 43 楼 z10843087 的回复:

@二月十六 可以给推荐一下

请问SQL里 varbinary类型的列 能用来当where 条件吗？ select * from BigSettlement where SettlementData='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数值没错。 但是取不到值

[yuze6666]

别别别不知道啊