導(dǎo)讀：目前，網(wǎng)絡(luò)上有不少此類工具，可以方便那些不熟悉SQL數(shù)據(jù)庫的人用，其實(shí)完全不用去下載那種工具，只要用微軟自己的SQLServer里自帶客戶端程序連上去就馬上可以輕松的把自己變成整個(gè)操作系統(tǒng)的超級管理員了。具體的過程，我就為大家講解1遍，這里先假設(shè)黑客已經(jīng)通過其他工具暴力破解了你設(shè)置的強(qiáng)度教低的sa帳號的弱口令，或者你根本就沒有為sa賬號設(shè)置口令。首先黑客打開SQLServer查詢分析器，以sa身份和他剛暴力破解的密碼登陸進(jìn)你的SQLServer數(shù)據(jù)庫，然后他執(zhí)行以下語句：

　　xp_cmdshell"netuserzxcnopassword/add"goxp_cmdshell"netlocalgroup/addadministratorszxc"go

　　這時(shí)候，你如果打開你的計(jì)算機(jī)管理-本地用戶和組-用戶，這時(shí)候你會發(fā)現(xiàn)里面已經(jīng)多出了1個(gè)叫zxc的新賬號，查看一下此帳號的屬性，你更會發(fā)現(xiàn)他竟然隸屬于administrators組。

　　說到這里大家肯定都明白了，對，黑客通過調(diào)用SQLServer的系統(tǒng)數(shù)據(jù)庫master里的xp_cmdshell這個(gè)擴(kuò)展存儲過程輕松的將他自己變成了你服務(wù)器上的超級管理員，那么以后他還有什么事情會干不了呢。

　　因此，如果大家在平時(shí)不需要調(diào)用此存儲過程的話，可以考慮將它刪除，當(dāng)然不管你平時(shí)是不是要調(diào)用此存儲過程，你都應(yīng)該為你的sa賬號設(shè)置1個(gè)十分健壯的密碼，這是最根本、最重要的，你可以打開SQLServer的企業(yè)管理器，然后選擇安全性-登陸，右擊sa賬號，選擇屬性，然后在屬性對話框里修改您的sa帳號所對應(yīng)的密碼，這里我建議你要盡可能的設(shè)置的復(fù)雜些，可以用英文字母結(jié)合數(shù)字結(jié)合特殊符號等，這樣就可以防止黑客對此帳號的暴力破解，當(dāng)然***是在安裝您的SQLServer的時(shí)候就已經(jīng)完成此項(xiàng)工作，以免日后因人為遺忘等原因帶來安全隱患。

【編輯推薦】

1. MySQL數(shù)據(jù)庫開發(fā)必備常識
2. 用最簡單的步驟備份SQL數(shù)據(jù)庫的文件到本地
3. 講解Oracle數(shù)據(jù)庫管理員的維護(hù)工作