环境需求：<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />



SQL Server 2005 及之后的版本





背景



xp_cmdshell是一个很危险的存储过程，通过它，可以访问操作系统的资源，但有时候我们也需要使用它来实现一些特殊的处理。

从安全的角度来考虑，禁用xp_cmdsehll是最保险的，即使为了特殊目的而要求使用它，也最好能够编写一些实现这个特殊目的的用户存储过程，只在这个用户存储过程中使用xp_cmdshell，而普通用户只能使用这些用户存储过程。



正确的解决办法



下面的示例显示如何使普通用户在不具有执行存储过程xp_cmdshell的权限下，调用包含了执行xp_cmdshell代码的用户存储过程的方法。


-- 1. 具有执行xp_cmdshell 权限的登录

USE master;
GO
-- 1.a. 建立登录
CREATE LOGIN Cmd_Login
WITH PASSWORD = N'Pwd.123',
 CHECK_POLICY = OFF;
GO
-- 1.b. 这个登录是内置的, 不允许登录, 这样可以减少安全隐藏
DENY CONNECT SQL
 TO Cmd_Login;
GO

-- 1.c. 因为要调用xp_cmdshell , 所以在master 中要有用户, 并具有权限
CREATE USER Cmd_Login
FOR LOGIN Cmd_Login
WITH DEFAULT_SCHEMA = dbo;

GRANT EXECUTE ON sys.xp_cmdshell
 TO Cmd_Login;
GO


-- 2. 用户数据库
USE tempdb;
GO

-- 2.a 为执行xp_cmdshell 权限的登录建立用户
CREATE USER Cmd_Login
FOR LOGIN Cmd_Login
WITH DEFAULT_SCHEMA = dbo;
GO

-- 2.b 测试存储过程
CREATE PROC dbo.p
WITH EXECUTE AS N'Cmd_Login' -- 指定存储过程的执行时的上下文
AS
 EXEC master.sys.xp_cmdshell 'dir c:/'
GO


-- 3. 调用存储过程的普通登录
USE master;
GO
-- 3.a 登录
CREATE LOGIN test
WITH PASSWORD = N'abc.123',
 CHECK_POLICY = OFF;
GO

-- 3.b 数据库用户
USE tempdb;
GO
CREATE USER test
FOR LOGIN test;
GO

-- 3.c 执行存储过程的权限
GRANT EXECUTE ON dbo.p
 TO test;
GO

-- 3.d 执行测试
EXECUTE AS LOGIN = N'test';
GO
EXEC dbo.p;
GO
REVERT;
GO

-- 4. 删除测试
DROP PROC dbo.p;
DROP USER test;
DROP USER Cmd_Login;

USE master;
DROP LOGIN test;
DROP USER Cmd_Login;
DROP LOGIN Cmd_Login;
 


补充说明

 
 
多数情况下，数据库的所有者是sa一类的sysadmin固定服务器角色的成员，所以在这种情况下，也可以直接指定使用数据库所有者作为存储过程执行的安全上下文。
 
-- 2. 用户数据库
USE tempdb;
GO
-- 2.b 测试存储过程
CREATE PROC dbo.p
WITH EXECUTE AS N'dbo' -- 指定存储过程的执行时的上下文
AS
 EXEC master.sys.xp_cmdshell 'dir c:/'
GO


-- 3. 调用存储过程的普通登录
USE master;
GO
-- 3.a 登录
CREATE LOGIN test
WITH PASSWORD = N'abc.123',
 CHECK_POLICY = OFF;
GO

-- 3.b 数据库用户
USE tempdb;
GO
CREATE USER test
FOR LOGIN test;
GO

-- 3.c 执行存储过程的权限
GRANT EXECUTE ON dbo.p
 TO test;
GO

-- 3.d 执行测试
EXECUTE AS LOGIN = N'test';
GO
EXEC dbo.p;
GO
REVERT;
GO

-- 4. 删除测试
DROP PROC dbo.p;
DROP USER test;

USE master;
DROP LOGIN test;
 


使用前述方法的时候，实例中需要有xp_cmdshell代理帐户（默认是没有的）， 否则会收到下面的错误信息。
 
消息15153，级别16，状态1，过程xp_cmdshell，第1 行
xp_cmdshell 代理帐户信息无法检索或无效。请验证'##xp_cmdshell_proxy_account##' 凭据存在并且包含有效的信息。
 
可以使用下面的代码创建xp_cmdshell代理帐户。
 
USE master;
GO

DECLARE
 @user sysname,
 @password sysname,
 @sql varchar(1000);

-- 在操作系统中为xp_cmdshell 代理帐户建立windows 用户
SELECT
 @user = N'XpCmdAccount',
 @password = N'P@ssw0rd.',
 @sql = 'NET USER "' + @user + '" "' + @password + '" /ADD';
EXEC sys.xp_cmdshell @sql;

-- 建立xp_cmdshell 代理帐户
SELECT
 @user = CONVERT(sysname, SERVERPROPERTY(N'MachineName'))
 + N'/' + @user;
EXEC sp_xp_cmdshell_proxy_account @user, @password;
 


最后说明一点，要使用xp_mdshell，得将服务器的“xp_cmdshell”选项打开，参考如下的代码。
 
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;

EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;