MSSQL 命令執行風險與防護指南：從 xp_cmdshell 到 SQL Agent 作業

前言：為何要關注 MSSQL 命令執行機制？

Microsoft SQL Server 提供多種機制允許 T-SQL 執行作業系統層級命令，這在合法管理自動化極為方便，但若配置不當或權限過度授予，極易成為攻擊者提權、植入後門、竊取資料的關鍵路徑。本文系統梳理常見命令執行向量，並針對每種機制提出防護建議，助您建立纵深防禦體系。

一、核心風險向量分析

1. xp_cmdshell：經典且最高風險的擴展預存程序

• 功能：直接呼叫 Windows 命令解譯器 (cmd.exe) 執行任意命令，並回傳標準輸出。
• 典型濫用：EXEC xp_cmdshell 'net user hacker P@ssw0rd /add' 新增管理員帳號。
• 防禦現狀：SQL Server 2005+ 預設停用。DBA 常透過 sp_dropextendedproc 徹底移除，或刪除底層 DLL (xplog70.dll / xpsql70.dll)。
• 繞過手段：攻擊者可能嘗試重新註冊 sp_addextendedproc，甚至重建該系統預存程序。

2. 登錄表操作：xp_regwrite 等擴展預存程序

• 機制：向註冊表寫入啟動項 (如 Run 鍵值) 實現持久化或延遲執行。
• 缺點：無即時回顯、需重啟或用戶登入才觸發、隱蔽性較差。

3. OLE Automation 預存程序：sp_oacreate / sp_oamethod

• 原理：實例化 COM 物件 (如 WScript.Shell, Scripting.FileSystemObject) 間接執行命令、讀寫檔案。
• 進階技巧：結合重導向 (> file.txt) 與 FSO 讀取檔案內容，實現「有回顯」的命令執行。
• 限制：需啟用 Ole Automation Procedures 伺服器選項 (預設關閉)；權限通常限制於 sysadmin。

4. SQL Server Agent 作業系統

• 核心預存程序：sp_add_job, sp_add_jobstep (subsystem: CMDEXEC 或 TSQL), sp_add_jobserver, sp_start_job。
• 前置條件：SQL Server Agent 服務必須啟動 (預設手動)；作業擁有者需具備對應權限。
• 提權風險：結合 xp_execresultset 甚至允許低權限用戶 (public) 間接調用 xp_cmdshell。
• 任意檔案寫入：透過 @output_file_name 參數，可將查詢結果寫入任意路徑，配合啟動目錄植入惡意腳本。

5. 其他歷史組件

• sp_makewebtask：生成靜態網頁，可寫入 Web Shell (已移除於新版本)。
• sp_MScopyscriptfile：內部用途，同樣可能被利用寫入任意檔案。

二、纵深防禦策略

1. 最小權限原則

• 嚴格控制 sysadmin、securityadmin 等高權限角色成員資格。
• 應用程式連線帳號僅授予必要資料庫的 db_datareader/db_datawriter，禁止直接執行擴展預存程序。

2. 徹底停用/移除高風險組件

-- 停用 xp_cmdshell (推薦)
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 0; RECONFIGURE;

-- 停用 OLE Automation
EXEC sp_configure 'Ole Automation Procedures', 0; RECONFIGURE;

-- 如極少使用 SQL Agent，考慮設為「手動」啟動並嚴格限制作業建立權限

3. 物理層面隔離

• 刪除或重命名關鍵 DLL (xplog70.dll, xpsql70.dll) 徹底斷開 xp_cmdshell 底層支援。
• 檔案系統層面：資料庫服務帳號僅擁有資料/日誌/備份目錄的讀寫權限，嚴禁擁有系統目錄 (C:\Windows, 啟動資料夾) 寫入權限。

4. 稽核與監控

• 啟用 SQL Server 稽核 (SQL Server Audit) 記錄：EXECUTE 擴展預存程序、CREATE JOB、sp_configure 變更等敏感事件。
• 部署 WAF/資料庫防火牆攔截包含 xp_cmdshell, sp_oacreate, sp_add_job 等特徵的異常 T-SQL 批次。
• 監控 SQL Server Agent 服務狀態異常啟動、非預期作業建立/執行。

5. 修補與版本管理

• 及時套用累積更新 (CU) 與安全性更新 (GDR)，修復已知提權漏洞 (如 xp_execresultset 相關 CVE)。
• 淘汰 SQL Server 2000/2005 等停止支援版本。

三、應急排查清單

1. 檢查 xp_cmdshell, Ole Automation Procedures 是否啟用：EXEC sp_configure 'xp_cmdshell';
2. 枚舉現有 SQL Agent 作業：SELECT * FROM msdb.dbo.sysjobs; 重點排查 subsystem = 'CMDEXEC' 或可疑 TSQL 步驟。
3. 查詢擴展預存程序註冊表：SELECT * FROM sys.extended_procedures;
4. 檢視錯誤日誌與 Windows 事件日誌 (Security, Application) 中的登入失敗、服務啟動異常。
5. 掃描資料庫伺服器磁碟異常檔案 (近期建立的 .asp, .aspx, .php, .bat, .vbs 等)。

結語

MSSQL 命令執行功能雙面性極強：既是自動化運維利器，也是攻擊者夢寐以求的「核武器」。採取「預設拒絕、按需開啟、持續監控、定期演練」的全生命週期管理策略，才能在享受自動化便利的同時，將風險控制在可接受範圍內。