SQL Server 2005 啟用 xp_cmdshell 完整步驟與安全性考量

背景：預設關閉的高風險擴展預存程序

xp_cmdshell 允許在 SQL Server 服務帳號的安全性內容下執行作業系統命令（.exe, .bat, PowerShell 等）。SQL Server 2005 起預設停用，以降低攻擊面。若業務確有需求（如匯出檔案、呼叫外部程式），需明確啟用並嚴格管控。

啟用 T-SQL 腳本

-- 1. 允許進階選項變更
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;

-- 2. 啟用 xp_cmdshell
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;

圖形化介面替代方案

亦可使用 Surface Area Configuration Tool（外圍應用配置器）→ Features → xp_cmdshell → Enable。

安全性強化清單（必做）

1. 最小權限服務帳號：SQL Server 服務帳號不可為本機系統管理員，建立專用網域帳號，僅授予必要資料夾/登錄權限。
2. Proxy 帳號隔離：非 sysadmin 角色呼叫 xp_cmdshell 時，會使用 ##xp_cmdshell_proxy_account## 憑證。請設定低權限 Proxy：

EXEC sp_xp_cmdshell_proxy_account 'DOMAIN\LowPrivUser', 'StrongPassword';

3. 稽核與監控：啟用 SQL Server Audit 或 Extended Events 捕捉 xp_cmdshell 呼叫記錄（物件名、參數、呼叫者、時間）。
4. 白名單機制：在應用層封裝允許的命令清單，存儲過程驗證參數後再動態建構命令字串，拒絕任意字串傳入。
5. 網路隔離：資料庫伺服器不應直接連接互聯網，限制輸出防火牆規則。
6. 定期審查：每季檢視啟用狀態、Proxy 帳號權限、稽核日誌，確認無異常呼叫。

替代方案評估（優先考慮）

版本差異提醒

• SQL Server 2000：xp_cmdshell 預設開啟，風險極高，升級 2005+ 時務必確認關閉。
• SQL Server 2017+ Linux 版：xp_cmdshell 僅支援特定命令，行為受限於容器/主機權限。
• Azure SQL Database / Managed Instance：完全不支援 xp_cmdshell，架構設計時需排除。

結語

xp_cmdshell 是雙面刃，啟用前務必完成威脅建模，評估是否有更安全的替代方案。若必須啟用，請落實「最小權限、Proxy 隔離、全審計、定期審查」四大原則，將風險控制在可接受範圍內。