SQL Server 2000 SA 弱口令被破解實戰還原：xp_cmdshell 提權拿下服務器完全控制權

攻擊鏈還原

1. 弱口令爆破：攻擊者利用字典/暴力破解工具，針對 sa 賬號嘗試常見弱口令（空密碼、123456、sa、admin、password 等）。
2. 登錄查詢分析器：獲取 sa 權限的 SQL Server 會話。
3. 調用擴展存儲過程：
   

   EXEC xp_cmdshell 'net user hacker P@ssw0rd /add';  -- 創建系統用戶
   EXEC xp_cmdshell 'net localgroup administrators hacker /add';  -- 加入管理員組
   

4. 結果：攻擊者獲得操作系統 Administrators 組 權限，等同完全控制服務器：安裝木馬、竊取數據、橫向移動、部署勒索軟件等。

根因分析

• SA 權限過高：默認映射到 sysadmin 固定服務器角色，擁有實例級最高權限。
• xp_cmdshell 開放：允許 sysadmin 執行任意操作系統命令，橋接數據庫與 OS。
• 弱口令/空密碼：安裝時未強制設置強密碼，或後續未修改默認密碼。

修復與加固清單

現代版本（2005+）的改進

• 安裝向導強制設置 sa 密碼，不可為空。
• xp_cmdshell 默認關閉，需 sp_configure 'xp_cmdshell', 1 顯式開啟。
• 引入 執行代理賬號（##xp_cmdshell_proxy_account##），非 sysadmin 用戶通過代理賬號權限執行命令，不再直接以 SQL Server 服務賬號身份運行。
• 支持含有窗口的認證、密碼策略、登錄審計等企業級安全特性。

應急響應：發現 SA 被盜用

1. 立即修改 sa 密碼、禁用 sa、檢查可疑登錄（SELECT * FROM sys.dm_exec_sessions WHERE login_name = 'sa'）。
2. 檢查系統用戶組是否有異常新增賬號（lusrmgr.msc）。
3. 排查計劃任務、啟動項、服務、註冊表 Run 鍵是否有惡意持久化。
4. 全盤掃描木馬、Webshell、異常進程。
5. 通報安全部門，啟動應急預案，保全日志證據。