SQL Server 禁用擴展存儲過程

概述  

擴展存儲過程是 SQL Server 實例可以動態載入和運行的 DLL。擴展存儲過程是使用 SQL Server 擴展存儲過程 API 編寫的，可直接在 SQL Server 實例的地址空間中運行。擴展存儲過程可能會產生記憶體泄漏或其他降低伺服器的性能及可靠性的問題。固定伺服器角色 sysadmin 的成員可以使用 SQL Server 實例來註冊該擴展存儲過程，然後授予其他用戶執行該過程的許可權。擴展存儲過程只能添加到 master 資料庫中。有一些系統自帶的擴展存儲過程操作的許可權非常的高，包括修改註冊表和修改文件的許可權，比如“xp_cmdshell”。為了保證資料庫的安全需要將這部分擴展存儲過程給禁用。如果你們公司需要面臨ICP備案的話那麼這個事情是必須要做的。

需要禁用的擴展存儲過程包括：

SELECT  object_name,state from  sys.system_components_surface_area_configuration 
WHERE state=1 and object_name IN (
'xp_regdeletevalue',
'xp_regremovemultistring',
'xp_regwrite',
'xp_regaddmultistring',
'xp_regdeletekey',
'xp_enumerrorlogs',
'xp_enumgroups',
---不中視圖中
'xp_loginconfig',
'xp_getfiledetails',
'xp_regenumvalues',
'sp_makewebtask',
---對應系統外圍配置'xp_cmdshell'
'xp_cmdshell',
---對應系統外圍配置'Ole Automation Procedures'
'Sp_OACreate',
'Sp_OADestroy',
'Sp_OAGetErrorInfo',
'Sp_OAGetProperty',
'Sp_OAMethod',
'Sp_OASetProperty',
'Sp_OAStop'
)

一、禁用擴展存儲過程

有一些擴展存儲過程它是屬於伺服器外圍配置選項，可以使用sp_configure來開啟和禁用。例如xp_cmdshell

---開啟xp_cmdshell
sp_configure 'show advanced options', 1;
GO
sp_configure 'allow updates',0 ---開啟允許更新系統表,當更改系統配置選項時提示不運行對系統目錄即時更新時需要開啟改功能
go
reconfigure;
go
sp_configure 'xp_cmdshell', 1;----開啟xp_cmdshell
go
reconfigure;
go
sp_configure 'allow updates',1----關閉更新系統表功能
go
sp_configure 'show advanced options', 0;

go
---關閉xp_cmdshell
sp_configure 'show advanced options', 1;
GO
sp_configure 'allow updates',0 ---開啟允許更新系統表
go
reconfigure;
go
sp_configure 'xp_cmdshell', 0;----關閉xp_cmdshell
go
reconfigure;
go
sp_configure 'allow updates',1----關閉更新系統表功能
go
sp_configure 'show advanced options', 0;

二、拒絕授予擴展存儲過程的可執行許可權

而除了系統外圍配置選項涉及的擴展存儲過程可以通過sp_configure開啟和禁用之外，剩下的系統擴展存儲過程只能通過拒絕授予可執行許可權的方式來禁用。

從SQLServer2005開始就不能通過sp_dropextendedproc 刪除系統擴展存儲過程

可以通過拒絕 public 角色對擴展存儲過程的 EXECUTE 許可權

select 'DENY EXECUTE ON '+object_name+' TO public',object_name,state from  sys.system_components_surface_area_configuration 
WHERE state=1 and object_name IN (
'xp_regdeletevalue',
'xp_regremovemultistring',
'xp_regwrite',
'xp_regaddmultistring',
'xp_regdeletekey',
'xp_enumerrorlogs',
'xp_enumgroups',
---不中視圖中
'xp_loginconfig',
'xp_getfiledetails',
'xp_regenumvalues',
'sp_makewebtask',
---對應系統外圍配置'xp_cmdshell'
'xp_cmdshell',
---對應系統外圍配置'Ole Automation Procedures'
'Sp_OACreate',
'Sp_OADestroy',
'Sp_OAGetErrorInfo',
'Sp_OAGetProperty',
'Sp_OAMethod',
'Sp_OASetProperty',
'Sp_OAStop'
);

三、查詢許可權

USE MASTER
;
WITH CET AS(
SELECT  'DENY EXECUTE ON '+object_name+' TO public' AS DenySQL,object_name,state from  sys.system_components_surface_area_configuration 
WHERE state=1 and object_name IN (
'xp_regdeletevalue',
'xp_regremovemultistring',
'xp_regwrite',
'xp_regaddmultistring',
'xp_regdeletekey',
'xp_enumerrorlogs',
'xp_enumgroups',
---不中視圖中
'xp_loginconfig',
'xp_getfiledetails',
'xp_regenumvalues',
'sp_makewebtask',
---對應系統外圍配置'xp_cmdshell'
'xp_cmdshell',
---對應系統外圍配置'Ole Automation Procedures'
'Sp_OACreate',
'Sp_OADestroy',
'Sp_OAGetErrorInfo',
'Sp_OAGetProperty',
'Sp_OAMethod',
'Sp_OASetProperty',
'Sp_OAStop'
)
)
 
SELECT A.name,schema_name(A.schema_id) [schema],A.type,b.permission_name,B.type,B.state_desc,C.name,c.type_desc    
FROM sys.all_objects AS A      
LEFT JOIN sys.database_permissions AS B ON B.major_id=A.object_id AND B.minor_id=0 AND B.class=1      
LEFT JOIN sys.database_principals AS C ON C.principal_id = B.grantee_principal_id      
where A.name IN(SELECT object_name FROM CET)   
ORDER BY A.name 

參考：http://blog.csdn.net/kk185800961/article/details/52188556

參考：https://docs.microsoft.com/zh-cn/sql/relational-databases/system-stored-procedures/sp-dropextendedproc-transact-sql

總結