求助各位大神，远程数据库总是被动手脚

Question

你要从程序下手啊...可能是你的程序有漏洞 你在这么修改sql的sa都没用啊....

Answer 1

可是sql有漏洞不应该表都被删了啊，后台没有动过，一直修改的前台，而且sql那部分它用的存储过程，存储过程本身也是加密的

Answer 2

大神，这一块还真是有点生疏，能不能推荐点实用的技术文章看一下，谢谢这个主要是靠经验来的，首先从网站的漏洞开使查找，看看是否有上传的漏洞，其次往自己的站点上传一个asp木马，用asp木马来检验网站和服务器的漏洞，如cmd的权限，svu的提权之类的，还有网站文件夹的权限想知道怎么防，首先要了解别人是怎么攻的

Answer 3

大神，这一块还真是有点生疏，能不能推荐点实用的技术文章看一下，谢谢这个主要是靠经验来的，首先从网站的漏洞开使查找，看看是否有上传的漏洞，其次往自己的站点上传一个asp木马，用asp木马来检验网站和服务器的漏洞，如cmd的权限，svu的提权之类的，还有网站文件夹的权限想知道怎么防，首先要了解别人是怎么攻的
谢谢解答，看样子抽空我有必要学习下如何攻击数据库啊，另外我从远程桌面装下杀毒软件和防火墙应该能好点吧，哎，悲剧啊。

Answer 4

Sql 表分配权限--添加只允许访问指定表的用户:
exec sp_addlogin 'uid','P@ssw0rd','DBA2'
 
--添加到数据库
exec sp_grantdbaccess 'uid'
 
--分配整表权限
GRANT SELECT , INSERT , UPDATE , DELETE ON A TO uid
 
----分配权限到具体的列
--GRANT SELECT , UPDATE ON table1(id,AA) TO [用户名]

Answer 5

首先 回答下你6#的疑问所谓的攻击 不是数据库.而是程序本身正如5#说的一样别人上传了一个aspx文件..直接就可以运行当然如果你UI权限够大 这个aspx什么都可以干了 首先看看webconfig 里面数据库代码是什么.或者执行点cmd创建几个window用户..这全部权限就都有了 想格式互你硬盘都行.然后就是你说的 <杀毒软件和防火墙> 一点用都没有...难道 你所谓的<杀毒软件和防火墙>能把下面的代码删了吗?
System.IO.File.ReadAllText(server.mappath("~/web.config"))..显然在网页中 这样的代码是有危险的. 但是杀毒软件还不能这样智能吧....

Answer 6

所以 要做防守就要懂得他人如何攻击.正所谓知己知彼百战不殆比如 设置网站目录的权限只有netservice而不是everyone.上传时候做判断不允许其他类型文件参数化什么的 这都是基本的..

Answer 7

最好Delete也不要给，删除只能修改数据状态