SQL Server 密碼安全的五大迷思與實戰防護建議

前言

許多 DBA 對密碼安全存在誤區，導致防禦薄弱。本文揭露五個常見迷思，並給出可落地的測試與防護策略。

迷思一：內網交換機環境下密碼傳輸安全

事實： 工具（OmniPeek、Ethereal、Cain & Abel）可輕易擷取 TDS 協定傳輸的認證封包。Cain 的 ARP 中毒功能更能繞過交換機隔離，在一分鐘內竊取區域網路內所有流量。

迷思二：Windows 驗證模式絕對安全

事實： 同樣的嗅探工具能捕獲 Windows、Web、郵件等認證雜湊，進而橫向移動取得 SQL Server 存取權。Windows 驗證僅改變認證管道，不代表加密傳輸。

迷思三：強制密碼原則就能免除滲透測試

事實： 未受管的伺服器、非網域主機、未知 SQL 實例、專用破解工具（如 NGSSQLCrack）皆可繞過原則。滲透測試必須實測驗證，不能只憑原則設定就假設安全。

迷思四：SQL Server 密碼無法還原，破解無意義

事實： SQL Server 7/2000 將密碼雜湊儲存在系統表中，工具（Cain、NGSSQLCrack）可提取 SHA 雜湊並離線暴力破解。雖成功率不保證，但確為弱點。

迷思五：MBSA 掃描無漏洞即代表密碼安全

事實： MBSA 對深層密碼破解檢測能力有限。需搭配第三方工具：SQLat、SQLninja（含於 SQLPing 3）、ElcomSoft Proactive Password Auditor、Ophcrack 等。特別注意：物理接觸不安全的主機（筆電、機房）易被 Ophcrack LiveCD 破解本機管理員密碼，進而控制整個網域。

迷思六：只關注主資料庫伺服器即可

事實： 網路中常存在 MSDE、SQL Server Express 等輕量版實例，預設安裝可能無密碼或弱密碼。使用 SQLPing 3 掃描全網實例，納入管理範圍。

實戰建議

• 啟用強制加密連線（Force Encryption）與憑證驗證。
• 定期以 SQLPing/第三方工具掃描弱密碼與未授權實例。
• 實施最小權限原則，移除不必要的 sysadmin 角色。
• 建立帳號鎖定後的回滾與通知機制，避免業務中斷。
• 對物理環境實施管制，防止 LiveCD 類攻擊。