Microsoft SQL Server存储过程权限设置错误漏洞发布时间：2002-09-10 更新时间：2002-09-10 严重程度：中 威胁程度：其它 错误类型：设计错误 利用方式：服务器模式 BUGTRAQ ID：5604 受影响系统 Microsoft SQL Server 2000 SP2详细描述 Microsoft SQL Server 2000使用各种存储过程允许数据库管理员执行管理操作。 sp_MSSetServerProperties存储过程会调用xp_instance_regwrite，可以改变SQL的启动方式，如手工还是自动，默认可以低权限用户访问，结合其他的SQL漏洞可能导致数据破坏。 sp_MSsetalertinfo存储过程也可以允许低权限用户访问，可以修改报警的EMAIL等。 测试代码 无 解决方案 关闭相关的权限： use master go drop execute on [sp_MSSetServerProperties] to [public] go drop execute on [sp_MSsetalertinfo] to [public] go 相关信息 David Litchfield <david@ngssoftware.com>. 参考：http://online.securityfocus.com/archive/1/290110 |
