SQL安全问题，请求大家讨论！

[dendoll]

SQL数据库里经常被闲人加上几个表（如：dm_99）和用户。

以上问题的SQL存在的漏洞和解决办法都有哪些呢？

[danisluo]

楼主，那是你没有对用户设置相应权限造成的

[dendoll]

不是这么简单吧，跟程序和数据库的设置也有关吧

[dendoll]

怎么没人参与呢

[samfeng_2003]

是不是常被人注入啊！楼主除了打上SP4等，还应该对于权限进行设置，同时禁止使用
use master
sp_dropextendedproc 'xp_cmdshell'

xp_cmdshell是进入操作系统的最佳捷径，是数据库留给操作系统的一个大后门。如果你需要这个存储过程，请用这个语句也可以恢复过来。
sp_addextendedproc 'xp_cmdshell', 'xpsql70.dll'
如果你不需要请丢弃OLE自动存储过程（会造成管理器中的某些特征不能使用），这些过程包括如下：
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操作系统管理员的密码来，如下：
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues
Xp_regread Xp_regremovemultistring Xp_regwrite
还有一些其他的扩展存储过程，你也最好检查检查。
在处理存储过程的时候，请确认一下，避免造成对数据库或应用程序的伤害。

[dendoll]

'xpsql70.dll' 这个我已经移到别的目录下并改名了，补丁也是随时更新的

[duoluohuifeng]

学习

[OracleRoob]

怎么让别人在企业管理器中找不到我的数据库？

[dendoll]

没有有效的办法呀