INNLEDNING
Microsoft har gitt ut en sikkerhetsveiledning om et sikkerhetsproblem i Microsoft SQL Server som kan tillate ekstern kjøring av kode. Sikkerhetsveiledningen inneholder ytterligere sikkerhetsrelaterte opplysninger. Hvis du vil vise sikkerhetsveiledningen, kan du gå til følgende Microsoft-webområde:
http://www.microsoft.com/technet/security/advisory/961040.mspxDenne artikkelen inneholder et VB-skript som kan kjøres som en midlertidig løsning på alle forekomster av SQL Server på en lokal datamaskin.
EKSEMPEL PÅ ET VB-SKRIPT SOM KAN KJØRES HVIS DU VIL BENYTTE DEG AV DEN MIDLERTIDIGE LØSNINGEN
Det følgende VB-skriptet kan brukes til å nekte Public-rollen kjøretillatelse i den utvidede, lagrede sp_replwritetovarbin-prosedyren på alle berørte versjoner av SQL Server som kjøres på den lokale datamaskinen.
Programmeringseksemplene fra Microsoft er kun eksempler. Microsoft gir ingen garantier, verken direkte eller indirekte. Dette inkluderer, men er ikke begrenset til, eventuelle underforståtte garantier om salgbarhet eller anvendelighet for et særskilt formål. Denne artikkelen har som utgangspunkt at du er kjent med programmeringsspråket som anvendes, og verktøyene som brukes til å opprette og feilsøke prosedyrer. Microsofts kundestøtteteknikere kan være behjelpelige med å forklare funksjonaliteten til en bestemt prosedyre. De vil imidlertid ikke endre disse eksemplene for å gi forbedret funksjonalitet eller opprette prosedyrer for å dekke dine bestemte behov. Kopier koden til en tekstfil, lagre filen med filtypen VBS og kjør deretter skriptfilen ved hjelp av CScript.exe. Skriptet går gjennom alle åpne forekomster av SQL Server på den lokale datamaskinen, og den midlertidige løsningen anvendes på de berørte versjonene. Du må være medlem av Sysadmin-rollen for hver forekomst av SQL Server for å kunne bruke den midlertidige løsningen. Hvis du ikke har en Windows-konto som er medlem av Sysadmin-rollen på alle berørte servere der du kjører SQL Server, kan det hende du må kjøre skriptet fra flere forskjellige kontoer. Hvis du har Windows Server 2008 eller Windows Vista og bruker en Windows-administratorkonto som er medlem av Sysadmin-rollen, må du kjøre skriptet fra en ledetekst i opphøyd modus.'*************************************************************************************
'Beskrivelse: Dette skriptet går gjennom alle SQL Server-forekomster som er i gang, ' og nekter Public-rollen kjøretillatelse på sp_replwritetovarbin på alle ' berørte versjoner. ' DETTE ER EN MIDLERTIDIG LØSNING. DEN BØR IKKE BRUKES HVIS EN ' SIKKERHETSOPPDATERING ER GJORT TILGJENGELIG OG INSTALLERT. '************************************************************************************* OPTION EXPLICIT ON ERROR RESUME NEXT ' Constant values CONST EXIT_SUCCESS = 0 CONST EXIT_FAILURE = 1 CONST EXIT_NOINSTANCES = -1 CONST DEFAULTNAMESPACE = "root\default" CONST STDREGPROV = "stdregprov" CONST HKEY_LOCAL_MACHINE = &H80000002 CONST REG_MULTI_SZ = 7 CONST REG_SZ = 1 CONST adCmdText = 1 Call VBMain() Function VBMain() Err.Clear ON ERROR RESUME NEXT Dim sInstances(), strInstance, i, TotalCount VBMain = EXIT_SUCCESS If GetInstances(sInstances, TotalCount) = FALSE Then WScript.Quit EXIT_FAILURE End If If IsEmptyNull(sInstances) Then WScript.Echo "INFO: Ingen forekomster er til stede." VBMain = EXIT_NOINSTANCES Exit Function End If For i = 0 To TotalCount-1 strInstance = sInstances(i,0) GetFullInstance strInstance, sInstances(i,1) If ApplyFix(sInstances(i,0), strInstance) = FALSE Then WScript.Echo "FEIL: Kan ikke bruke den midlertidige løsningen på " + sInstances(i,0) + "." + vbCRLF VBMain = EXIT_FAILURE End If Next WScript.Echo "INFO: Alle SQL-forekomster som kjører, er behandlet." End Function Function GetInstances(ByRef sInstances, ByRef TotalCount) Err.Clear ON ERROR RESUME NEXT Dim sInstances1, sInstances2, i Dim instCount1, instCount2 GetInstances = FALSE If NOT GetRegValue ("", HKEY_LOCAL_MACHINE, "Software\Microsoft\Microsoft SQL Server", "InstalledInstances", sInstances1, REG_MULTI_SZ, TRUE) Then WScript.Echo "FEIL: Kan ikke lese SQL-forekomster som er installert på maskinen." Exit Function End If sInstances2 = NULL If IsOs64Bit() = TRUE Then If NOT GetRegValue ("", HKEY_LOCAL_MACHINE, "Software\Microsoft\Microsoft SQL Server", "InstalledInstances", sInstances2, REG_MULTI_SZ, FALSE) Then WScript.Echo "FEIL: Kan ikke lese SQL-forekomster som er installert på maskinen." Exit Function End If End If If IsEmptyNull(sInstances1) AND IsEmptyNull(sInstances2) Then WScript.Echo "INFO: Ingen forekomster til stede." WScript.Quit EXIT_SUCCESS End If instCount1 = 0 instCount2 = 0 TotalCount = 0 If IsEmptyNull(sInstances1) = FALSE Then instCount1 = UBound(sInstances1) + 1 TotalCount = instCount1 End If If IsEmptyNull(sInstances2) = FALSE Then instCount2 = UBound(sInstances2) + 1 TotalCount = TotalCount + instCount2 End If ReDim PRESERVE sInstances(TotalCount,1) if instCount1 > 0 Then For i = 0 To UBound(sInstances1) sInstances(i,0) = sInstances1(i) sInstances(i,1) = True Next End If If instCount2 >0 Then For i = 0 To UBound(sInstances2) sInstances(i+instCount1,0) = sInstances2(i) sInstances(i+instCount1,1) = FALSE Next End If GetInstances = TRUE End Function Function ApplyFix(ByVal strInstance, ByVal strServerName) Err.Clear ON ERROR RESUME NEXT Dim objConn, objCmd, objCmd1, objRS, objRS1 Dim strCommand, strConn Dim strBuildVersion, strProductLevel, bApplyFix ' Initialize return value ApplyFix = FALSE strConn = "Provider=sqloledb;Initial Catalog=master;Integrated Security=SSPI;Data Source=" + strServerName + ";" ' Error checking is intentionally left to keep the code short Set objConn = CreateObject("ADODB.Connection") Set objCmd = CreateObject("ADODB.Command") Set objCmd1 = CreateObject("ADODB.Command") ' Open a Connection to the master Database objConn.Open strConn If ErrorOccurred("Feil: Kan ikke koble til " + strInstance) Then Set objConn = Nothing Exit Function End If ' Validate the version before applying the fix strCommand = "select SERVERPROPERTY('ProductVersion') as version, SERVERPROPERTY('productlevel') as productlevel" objCmd.ActiveConnection = objConn objCmd.CommandType = adCmdText objCmd.CommandText = strCommand Set objRS = objCmd.Execute() If ErrorOccurred("FEIL: Kan ikke kjøre """ + strCommand + """ på " + strInstance) = TRUE Then objConn.Close() Set objConn = Nothing ApplyFix = FALSE Exit Function End If strBuildVersion = objRS("version") strProductLevel = UCase(objRS("productlevel")) bApplyFix = FALSE ' Apply the workaround only for SQL 2000 and SQL 2005 (RTM, SP1 and SP2) versions If (CInt(Mid(strBuildVersion,1,1)) = 8) Then bApplyFix = TRUE ElseIf CInt(Mid(strBuildVersion,1,1)) = 9 AND (StrComp(strProductLevel,"RTM") = 0 OR StrComp(strProductLevel,"SP1") = 0 OR StrComp(strProductLevel,"SP2") = 0) Then bApplyFix = TRUE End If If bApplyFix = TRUE Then strCommand = "deny execute on sp_replwritetovarbin to public" objCmd1.ActiveConnection = objConn objCmd1.CommandType = adCmdText objCmd1.CommandText = strCommand Set objRS1 = objCmd1.Execute() If ErrorOccurred("FEIL: Kan ikke kjøre """ + strCommand + """ på " + strInstance) = FALSE Then WScript.Echo "INFO: Den midlertidige løsningen er tatt i bruk på " + strInstance + " (" + strBuildVersion + ")." + vbCRLF ApplyFix = TRUE End If Else WScript.Echo "INFO: Hopper over innsamling av informasjon for " + strInstance + " (" + strBuildVersion + ") siden denne forekomsten ikke er i faresonen." + vbCRLF ApplyFix = TRUE End If objConn.Close() Set objConn = Nothing Set objCmd = Nothing Set objCmd1 = Nothing Set objRS = Nothing Set objRS1 = Nothing End Function Private Function GetRegValue (ByVal strMachineName, ByVal hMainKey, ByVal strPath, ByVal strValueName, ByRef strValue, ByVal iValueType, ByVal b32bit) Err.Clear ON ERROR RESUME NEXT Dim objLocator, objServices, objRegistry, objCtx Dim sMultiStrings, lRc GetRegValue = TRUE 'Connect to WMI and get an object to STDREGPROV class. Set objCtx = CreateObject("WbemScripting.SWbemNamedValueSet") If b32bit = TRUE Then objCtx.Add "__ProviderArchitecture", 32 Else objCtx.Add "__ProviderArchitecture", 64 End If objCtx.Add "__RequiredArchitecture", TRUE set objLocator = createobject("wbemscripting.swbemlocator") set objServices = objLocator.connectserver(strMachineName,DEFAULTNAMESPACE, "", "",,,,objCtx) set objRegistry = objServices.get(STDREGPROV) If ErrorOccurred("FEIL: Kan ikke koble til WMI-navneområdet " + DEFAULTNAMESPACE) Then GetRegValue = FALSE Exit Function End If lRc = 0 Select Case iValueType ' We only care about REG_MULTI_SZ Case REG_MULTI_SZ strValue = "" lRC = objRegistry.GetMultiStringValue(hMainKey, strPath, strValueName, sMultiStrings) strValue = sMultiStrings Case REG_SZ strValue = "" lRC = objRegistry.GetStringValue(hMainKey, strPath, strValueName, strValue) Case Else GetRegValue = FALSE End Select If lRc = 2 Or lRc = 3 Then GetRegValue = TRUE strValue = "" ElseIf Err.Number OR lRc <> 0 Then GetRegValue = FALSE End If Set objLocator = Nothing Set objServices = Nothing Set objRegistry = Nothing End Function Function IsEmptyNull(sCheck) IsEmptyNull = FALSE If IsObject(sCheck) Then Exit Function If IsArray(sCheck) Then Exit Function If VarType(sCheck) = vbEmpty Then IsEmptyNull = TRUE : Exit Function If VarType(sCheck) = vbNull Then IsEmptyNull = TRUE : Exit Function If sCheck = "" Then IsEmptyNull = TRUE End Function Private Function ErrorOccurred (ByVal strIn) If Err.Number <> 0 Then WScript.Echo strIn WScript.Echo "ERROR: 0x" & Err.Number & " - " & Err.Description Err.Clear ErrorOccurred = TRUE Else ErrorOccurred = FALSE End If End Function Function IsOs64Bit() Err.Clear ON ERROR RESUME NEXT Dim objProc Set objProc = GetObject("winmgmts:root\cimv2:Win32_Processor='cpu0'") If objProc.Architecture = 0 Then IsOs64Bit = FALSE Else IsOs64Bit = TRUE End If End Function Function GetFullInstance (ByRef strInstanceName, ByVal b32bit) Err.Clear ON ERROR RESUME NEXT Dim objServices, objClusters, objCluster Dim strMacName, isEmpty Dim strKey, strInstID GetFullInstance = TRUE If strComp(UCase(strInstanceName), "MICROSOFT##SSEE", 1) = 0 Then strInstanceName = "np:\\.\pipe\mssql$microsoft##ssee\sql\query" Exit Function End if strMacName = "" Set objServices = GetObject("winmgmts:root\cimv2") ' Query Cluster service Set objClusters = objServices.ExecQuery ("select * from win32_service where Name='ClusSvc' AND Started = TRUE") isEmpty = TRUE If Err.Number = 0 Then For each objCluster in objClusters isEmpty = FALSE Next End If Set objServices = Nothing Set objClusters = Nothing If isEmpty = TRUE Then strInstanceName = BuildInstanceName (".", strInstanceName) Exit Function End If ' If we reach here that means the machine is a clustered node. ' So lets query registry to determine whether the SQL instance is clustered or not. ' For SQL 2000 query the following value ' HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server\<InstanceName>\Cluster ' ClusterName strKey = "SOFTWARE\Microsoft\Microsoft SQL Server\" + strInstanceName + "\Cluster" GetRegValue "", HKEY_LOCAL_MACHINE, strKey, "ClusterName", strMacName, REG_SZ, b32bit If StrComp(strMacName, "") <> 0 Then strInstanceName = BuildInstanceName (strMacName, strInstanceName) Exit Function End If strKey = "SOFTWARE\Microsoft\" + strInstanceName + "\Cluster" GetRegValue "", HKEY_LOCAL_MACHINE, strKey, "ClusterName", strMacName, REG_SZ, b32bit If StrComp(strMacName, "") <> 0 Then strInstanceName = BuildInstanceName (strMacName, strInstanceName) Exit Function End If ' Lets try querying the registry value for 2005/2008 instances 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server\Instance Names\SQL ' RegValue = InstanceName strInstID = "" strKey = "SOFTWARE\Microsoft\Microsoft SQL Server\Instance Names\SQL" GetRegValue "", HKEY_LOCAL_MACHINE, strKey, strInstanceName, strInstID, REG_SZ, b32bit If StrComp(strInstID, "") = 0 Then ' If this key doesnt exist, then return back as a SQL 2000 local instance strInstanceName = BuildInstanceName (".", strInstanceName) Exit Function End If strKey = "SOFTWARE\Microsoft\Microsoft SQL Server\" + strInstID + "\Cluster" GetRegValue "", HKEY_LOCAL_MACHINE, strKey, "ClusterName", strMacName, REG_SZ, b32bit If StrComp(strMacName, "") = 0 Then strMacName = "." End If strInstanceName = BuildInstanceName (strMacName, strInstanceName) End Function Function BuildInstanceName (ByVal strMachineName, ByVal strInstanceName) Dim strPrefix strPrefix = "" If StrComp(strMachineName, ".") = 0 Then strPrefix = "lpc:" End If If strComp(UCase(strInstanceName), "MSSQLSERVER", 1) = 0 Then BuildInstanceName = strPrefix + strMachineName Else BuildInstanceName = strPrefix + strMachineName + "\" + strInstanceName End if End Function
Hvis du vil ha mer informasjon om CScript.exe, kan du gå til følgende Microsoft-webområde:
http://technet.microsoft.com/en-us/library/bb490887.aspxObs! Vi anbefaler ikke å bruke dette skriptet hvis en sikkerhetsoppdatering er tilgjengelig, og du har installert denne.
KJENTE PROBLEMER SOM KAN OPPSTÅ NÅR DU KJØRER DETTE SKRIPTET
Problem 1
Du kan få følgende feilmelding når du kjører skriptet:
ERROR: Could not execute "deny execute on sp_replwritetovarbin to public" on <navn på forekomsten> (FEIL: Kan ikke kjøre "deny execute on sp_replwritetovarbin to public" på <navn på forekomsten>.)
ERROR: 0x-2147217900 - Cannot find the object 'sp_replwritetovarbin', because it does not exist or you do not have permission. (FEIL: 0x-2147217900 - Finner ikke objektet "sp_replwritetovarbin" fordi det ikke eksisterer eller du mangler tillatelse.) ERROR: Could not apply the workaround on <navn på forekomsten> (FEIL: Kan ikke bruke den midlertidige løsningen på <navn på forekomsten>.).Årsak 1
Du får denne feilmeldingen hvis du ikke har tillatelsene som kreves for å bruke endringen. Denne feilmeldingen betyr at påloggingen på forekomsten <navn på forekomsten> var vellykket.
Feilmeldingen vises vanligvis i SQL Server Express, der gruppen Built-In\Users som standard har brukernavn til databasen. Denne gruppen er imidlertid ikke medlem av Sysadmin-rollen. Feilmeldingen kan også forekomme hvis du hoppet over sp_replwritetovarbin-prosedyren. Dette var anbefalingen fra en tredjepartsrapport. Vi anbefaler ikke å hoppe over den lagrede prosedyren. I stedet anbefaler vi å bruke denne løsningen.Løsning 1
Forsikre deg om at kontoen du kobler deg til, er medlem av Sysadmin-rollen på den aktuelle forekomsten av databasen. Hvis kontoen ikke er medlem, må du enten legge til brukeren du kobler deg til som, til Sysadmin-rollen, eller bruke en annen konto. For SQL Server 2005 og tidligere versjoner er gruppen Built-in\Administrators medlem av Sysadmin-rollen som standard. Når du kjører dette skriptet på Windows Vista eller Windows Server 2008, må du kjøre det fra en ledetekst i opphøyd modus.
Problem 2
Hvis du kjører dette skriptet i SQL Server 2005, får du følgende feilmelding:
Error: Could not connect to <instancename> (Feil: Kan ikke koble til <forekomstens navn>.)
ERROR: 0x-2147217843 - Login failed for user '<bruker>'. (FEIL: 0x-2147217843 – Pålogging mislyktes for brukeren <bruker>.) ERROR: Could not apply the workaround on <navn på forekomsten> (FEIL: Kan ikke bruke den midlertidige løsningen på <navn på forekomsten>.).Årsak 2
Du får denne feilmeldingen hvis du ikke kan koble deg til forekomsten <navn på forekomsten> selv om denne forekomsten eksisterer.
Feilmeldingen vises som oftest når du kobler deg til forekomster av Windows Internal Database eller Microsoft SQL Server 2000 Desktop Edition (Windows). Som oftest har ingen brukerkontoer brukernavn til disse databasene.Løsning 2
Kontroller at kontoen du bruker til å kjøre skriptet fra, har et brukernavn i databasen som er medlem av Sysadmin-rollen.
Vi anbefaler ikke å legge til individuelle brukere til databaser basert på Windows Internal Database eller Microsoft SQL Server 2000 Desktop Edition (Windows). Hvis du gjør dette, kan brukerne du legger til, forstyrre den vanlige driften av disse databasene. I slike tilfeller må du sørge for å koble deg til fra en konto som er medlem av Sysadmin-rollen. For SQL Server 2005 og tidligere versjoner er vanligvis gruppen Built-in\Administrators i Windows medlem av Sysadmin-rollen som standard. Når du kjører dette skriptet på Windows Vista eller Windows Server 2008, er det viktig at du kjører det fra en ledetekst i opphøyd modus.Problem 3
Det kan hende du oppdager en forekomst av en database som heter MICROSOFT##SSEE. Du har imidlertid ikke installert denne databasen.
Årsak 3
Denne databasen er Windows Internal-databasen, også kjent som SQL Server Embedded Edition og noen ganger også Microsoft SQL Server 2000 Desktop Edition (Windows). Den installeres sammen med enkelte Microsoft-produkter, inkludert SharePoint Services.
Løsning 3
Skriptet er laget for å fungere med Windows Internal-databasen. Du trenger ikke foreta deg noe.
Enkelte programmer fjerner ikke Windows Internal-databasen når de avinstalleres. Hvis du vil ha mer informasjon om hvordan du fjerner Windows Internal-databasen, kan du klikke artikkelnummeret nedenfor for å vise artikkelen i Microsoft Knowledge Base:920277 Windows Internal-databasen er ikke oppført i verktøyet Legg til eller fjern programmer og slettes ikke når du fjerner Windows SharePoint Service 3.0 fra datamaskinen (denne artikkelen kan være på engelsk)
Problem 4
Du får følgende feilmelding når du kjører skriptet:
Error: Could not connect to <instancename> (Feil: Kan ikke koble til <forekomstens navn>.) ERROR: 0x-2147467259 - [DBNETLIB][ConnectionOpen (Connect()).]SQL Server does not exist or access denied (FEIL: 0x-2147467259 - [DBNETLIB][ConnectionOpen (Connect()).]SQL Serveren finnes ikke eller ingen tilgang.)
Årsak 4
Du får denne feilmeldingen hvis følgende betingelser er oppfylt:
-
En 32-biters versjon av SQL Server 2000 er installert på et x64-biters operativsystem.
-
En 64-biters versjon av SQL Server 2005 eller SQL Server 2008 er installert på datamaskinen.
Denne feilmeldingen vises når skriptet bruker 64-biters versjonen av dbmslpcn.dll-filen Denne versjonen kan ikke kommunisere med WoW-forekomstene av SQL Server 2000.
Løsning 4
Start skriptet ved hjelp av 32-biters versjonen av cscript.exe-filen i mappen %WINDOWS%\SysWOW64. Da lastes 32-biters versjonen av dbmslpcn.dll-filen som kan oppdage WoW-forekomster, inn.
Referanser
Hvis du vil ha mer informasjon om hvordan du finner ut hvilken versjon og utgave av SQL Server du har, kan du klikke følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:
321185Identifisere versjon og utgave av SQL Server (denne artikkelen kan være på engelsk)
Mer informasjon
Tabellen nedenfor er en oversikt over viktige tekniske revisjoner av denne artikkelen. Revisjonsnummer og dato for siste gjennomgang av denne artikkelen kan vise til mindre redaksjonelle eller strukturelle endringer i artikkelen, som ikke er tatt med i tabellen.
Dato |
Revisjoner |
---|---|
31. desember 2008 |
Inneholder et oppdatert skript som oppdager forekomster av SQL Server failover-klynging. |
30. desember 2008 |
Inneholder et oppdatert skript som oppdager 32-biters versjoner av SQL Server som kjøres i 64-biters versjoner av Windows. |