SQL Server 2000 Desktop Engine (MSDE) 預設空密碼安全風險與修補建議

受影響產品

• Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)
• Microsoft MSDE 1.0

漏洞描述

MSDE 與 SQL Server 2000 Desktop Engine 預設安裝時，系統管理員 sa 密碼為空白。遠端攻擊者可利用此預設空密碼以系統管理員權限登入資料庫，完全控制資料與伺服器。

實際威脅

已出現利用此預設空密碼傳播的蠕蟲病毒，自動掃描內網 MSDE 實例並植入惡意代碼。

官方修補資源

• Q322336：HOW TO: Verify and Change the System Administrator Password by Using MSDE
• Q321081：Visio Installation of MSDE Creates an 'sa' Account with a Blank Password

緊急緩解措施

1. 立即為 sa 設定強式密碼（長度≥8、含大小寫數字符號）。
2. 啟用 Windows 防火牆封鎖 TCP 1433/1434 埠對外暴露。
3. 若不需遠端連線，設定網路庫僅啟用 Shared Memory 協定。
4. 定期稽核 syslogins 確認無異常帳號。

最佳實務

部署含 MSDE 的應用程式時，安裝腳本務必包含強制設定 sa 密碼步驟，杜絕預設空密碼風險。