密碼測試無需計劃
當進行測試時直接就開始嘗試破解密碼將是一個很大的錯誤無論你是在本地還是通過互聯網進行測試我都強烈建議你獲得權限並建議一個帳戶被鎖定後的回滾方案最後你要做的就是確保在賬戶被鎖定時數據庫用戶無法進行操作而且與之相連的應用程序也將無法正常運行
通過互聯網密碼仍然是安全的
對於通過混合方式實現的SQL Server你可以很容易的通過一些分析軟件(比如OmniPeekEthereal)立刻從網上抓到它的密碼同時Cain and Abel可以用來抓取基於TDS的密碼你可能以為通過內網交換機就可以避免這一問題?然而Cain的ARP中毒路由功能就可以很輕松的破解它在大約一分鐘之內這個免費軟件就可以攻破你的交換機並看到本地網絡的內部數據交換從而幫助其它軟件更容易的抓取密碼
事實上問題並沒有就此結束有些誤解認為在SQL Server中使用Windows身份驗證是很安全的然而事實並非如此上述軟件同樣可以迅速的從網上抓到WindowsWeb電子郵件等相關的密碼從而獲得SQL Server的訪問權限
通過使用密碼政策我們就可以不用測試密碼
無論你的密碼政策有多嚴厲卻總會有一些辦法可以繞開它比如現在有一個未進行配置的服務器一個Windows域外的主機一個未知的SQL Server或者一些特殊的工具它們可以破解最強壯的密碼這些東西就可以利用你密碼的弱點並是你的代碼政策變得無效
另外同樣重要的是有些測試結果可能會說由於你的密碼已經非常強壯你的數據庫很安全但你千萬不要輕信一定要自己在測試並驗證一下密碼缺陷是否還在盡管你可能會覺得一切都很好但實際上你可能落掉了一些東西
既然SQL Server密碼是不可重獲的那如果我知道他很強壯很安全我有為什麼要破解他呢?
事實上SQL Server的密碼是可以重獲的在SQL Server 和SQL Server 中你可以使用像Cain and Abel或者收費的NGSSQLCrack這種工具來獲得密碼哈希表而後通過暴力對其破解進行攻擊這些工具使你可以對SQL Server密碼SHA哈希表進行反向工程盡管破解的結果並不能夠保證但它確實是SQL Server的一個弱點
使用MBSA檢查過SQL Server密碼的缺陷並沒有發現什麼嚴重的問題
Microsoft Baseline Security Analyzer是一個用來根除SQL Server弱點的工具但他並不完善特別是在密碼破解方面對於深層的SQL Server和Windows密碼破解我們需要使用第三方軟件如免費的SQLat和SQLninja(可以在SQLPing 中找到)和Windows密碼破解工具如ElcomSofts Proactive Password Auditor和Ophcrack
此外使用在SQL Server中使用Windows身份驗證並不表示你的密碼就是安全的一些人只要了解如何破解Windows密碼在花一些時間就可以破解你的密碼並控制整個網絡特別是如果他們使用<>Ophcracks LiveCD來攻擊一個物理上不安全的Windows主機比如筆記本電腦或者易可達的服務器那將變得更加容易
只需擔心你的主數據庫服務器
我們很容易把關注點集中在自己的SQL Server系統上而忽略了網絡中可能有的MSDESQL Serve Express和其它一些可能的SQL Server程序這些系統可能正在使用不安全的默認設置甚至根本就沒有密碼通過使用SQLPing 這樣的工具來對數據庫服務器上的這些系統進行攻擊你將很容易地被破解
From:http://tw.wingwit.com/Article/program/SQLServer/201311/22478.html
