sql-server - 使用 SP_OACreate、SP_OAMethod 等有安全风险吗？

Question

我被告知在 SQL Server 2000 中使用 SP_OACreate 和 SP_OAMethod 存在安全风险。

我在程序集中使用强名称并存储在 SQL Server 计算机上的 GAC 中。

安全隐患/妥协是什么？

Answer 1

这些扩展存储过程允许从 SQL Server 内部实例化 OLE(“ActiveX”)对象。创建 MSXML 对象并让它以 HTTP POST 形式发送一些数据库数据的典型用例。

在我看来，sp_OACreate 等程序有两个问题:

• 默认情况下，只有具有 sysadmin 角色的主体才能执行这些操作。授予和测试这些权限是一件痛苦的事情。 (您必须将用户添加到 Master 数据库并授予他们对该数据库的权限。)

• 授予的权限非常广泛。你不能只说“好的用户，你有权创建这种对象并用它做 xyz”。相反，你说“好的用户，你有权创建你想要的任何 OLE 对象并做任何你想做的事。”这是一个相当广阔的 Canvas 。