SQL Server 密碼管理六大危險誤區：從防火牆信仰到 MBSA 盲信

前言

許多 DBA 認為：「防火牆內、Windows 整合認證、強密碼策略」三重保障下，SQL Server 密碼萬無一失。現實遠比想像殘酷，以下六大誤區可能正在裸奔你的資料庫。

誤區一：密碼測試無需計劃，直接開跑

風險： 貿然對線上庫發起暴力破解，觸發帳號鎖定策略 → 應用連線池耗盡 → 業務全面不可用。

正確做法： 獲取書面授權、制定回滾預案、隔離測試環境、通知業務方維護窗口。

誤區二：內網交換機環境下密碼傳輸安全

現實：

• 混合模式（SQL 認證）下，TDS 協議明文傳輸密碼，OmniPeek/Wireshark 秒級抓包。
• 即使啟用強制加密，Cain & Abel 的 ARP 投毒可繞過交換機隔離，攔截全網流量。
• Windows 整合認證同樣面臨 NTLM/Kerberos 票據竊取風險（Pass-the-Hash、Kerberoasting）。

對策： 強制 TLS 1.2+ 加密連線、部署 IPsec、啟用 EPA（Extended Protection for Authentication）、定期輪換服務帳號密鑰。

誤區三：有密碼策略就不必測試密碼強度

盲點：

• 策略未套用到所有實例（獨立 SQL Express、開發機、舊版升級殘留）。
• 離線字典/彩虹表攻擊不受線上鎖定策略限制，離線破解 master.mdf 雜湊值。
• 工具 SQLat、SQLninja、ElcomSoft Proactive Password Auditor 可大規模離線破解。

對策： 定期離線審計雜湊強度、清理未受管實例、啟用「必須符合複雜度要求」且最小長度 ≥ 14 字元。

誤區四：SQL Server 密碼不可逆，破解無意義

事實： SQL Server 7/2000/2005 早期版本雜湊演算法脆弱（SHA-1 變體），Cain & Abel、NGSSQLCrack 可離線暴力反推。雖新版（2012+）採用 PBKDF2+SHA-256 大幅提升成本，但弱密碼仍可在合理時間內被撞庫破解。

誤區五：MBSA 掃描綠燈 = 密碼安全

局限： Microsoft Baseline Security Analyzer 僅檢查「空密碼、簡單密碼、策略合規」，不具備離線雜湊破解能力。深度審計需第三方工具：Ophcrack（Windows）、Hashcat（GPU 加速）、SQLat（SQL 專用）。

誤區六：只守護主庫，忽略 MSDE/Express/開發實例

攻擊面： 網絡掃描（SQLPing 3）常發現：預設實例無密碼、sa 空密碼、開發機直連生產數據。這些「影子實例」成橫向移動跳板。

對策： 定期 SQLPing 全網掃描、納入 CMDB 統一管控、禁用不必要的 SQL Browser 服務。

總結清單

1. 授權先行，測試有預案
2. 內網≠安全，強制加密 + ARP 防護
3. 策略≠實況，定期離線破解審計
4. 舊版雜湊可逆，升級或隔離
5. MBSA 不夠，引入專業破解工具
6. 全資產掃描，無影子實例