SQLServer2000被入侵后的补救措施

[ 2006/03/08 10:49 | by gOxiA ]
| |

      昨天收到通告,发现服务器被入侵。经过初步检查是因为应用出现了注入漏洞,当时检查没发现系统上有入侵痕迹,做了简单的修复就回家,想想感觉不对!既然对方声称已经拿到“系统最高权限”(PS:系统最高权限是SYSTEM,对方拿到的只是指定的管理员权限,看来对方根基不牢固啊。),回想看过的资料记得提过使用系统服务来隐藏后门,对啊!怎么没有想到呢?今早一来便上服务器开始检查,首先检查进程没有发现异常,检查远程登录的Log发现确实有不明Ip登录,GOD!

      使用最简单也是最有效的查看办法,因为之前我专门指定了一个用户来运行SQL,但是因为涉及到数据库的一些目录权限问题,所以我将这个用户分配到了Administrators组,便留下了后患!我检查了用户配置文件发现其帐户目录中存在黑客工具,看来是登录进来了!奇怪,之前设置的这个帐户是无权本地和远程登录的啊,这个问题我也一直没有找到原因。

      于是禁止用户远程访问权限,并且将RDP权限中加入了这个用户为拒绝!既然人家已经进来了,也只能将计就计,将账户目录的安全性配置为管理员组和ONWER拒绝,这样一来即使因SQL漏洞对方在进入也只是一个空的界面很难做其它动作,当然还是有突破的办法!不过,起码可以抵挡一段时间!可以让我们及时发现入侵者。

      最后还是要从SQL下手才能解决问题,可是因为环境要求,做端口限制或者IPSec是不可能的,不过我决定还是把UDP1434给封上。最后从xp_cmdshell下手,关闭它来解决基本的问题!

sp_dropextendedproc 'xp_cmdshell'
sp_addextendedproc 'xp_cmdshell', 'xpsql70.dll'(这条命令是用来恢复的)

      监视一段时间好了!唉……

SQL Server | 评论(2) | 引用(0) | 阅读(5837)
iknow
2006/03/09 12:55
注入漏洞无处不在,没有十全十美的程序,sql注入漏洞,呵呵,北京工人日报至今仍存在,及时发现并修复,才是重要的
gOxiA
2006/03/08 13:08
发现通过配置帐户的目录权限并不能很好的解决安全问题!郁闷~要做到一定的功能性就需要抛弃安全!
分页: 1/1 第一页 1 最后页
发表评论
昵称 [注册]
密码 游客无需密码
网址
电邮
打开HTML 打开UBB 打开表情 隐藏 记住我