MSSQL数据库安全实验

管理SQL Server认证模式

 

 

 

 

 

 选择“SQL Server 和Windows 身份验证模式”。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 管理数据库登录

 SQL Server有两个默认的用户登录账号：即sa和administrators\builtin。sa是系统管理员，它是SQL Server的一个超级登录账号，这个账号具有操作SQL Server服务器的一切权限。BUILTIN\Administrators组成员的 Windows NT 4.0 或 Windows 2000 用户自动成为 sysadmin 固有服务器角色成员。

    （1）使用企业管理器管理Windows身份验证的登录帐号。

    ① 回到桌面，右击我的电脑，点击管理。

找到如下页面

 

点击新用户

 

 

 

 

 

 创建完后关闭，此时在用户列表中可以看到该用户已经添加成功。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

然后点击右下角的应用，最后点击确定。

    ②在SQL Server Management Studio中，右击数据库，选择新建数据库

 

 

 

 

 

 

 

点击搜索

 

 

 

点击高级

 

 

 查找到Winuser，然后确定

 

 

 

 

 

 

 默认数据库选择student，完成登陆账号winuser的创建

 

 

 ③选择“服务器角色”选项卡。可以在服务器角色列表框中选择相应的服务器角色成员。在这里，设置登录用户winuser的服务器角色为系统管理员

 

 

 ④选择“用户映射”选项卡，在列表框中列出了该账号可以访问的数据库，如果单击数据库左边的复选框，表示该用户可以访问相应的数据库。在这里，选中数据库master和student左边的复选框，表示登陆用户winuser可以访问的数据库为master和student。在下方的数据库角色成员身份都选择public。然后点击确定。

 

 

 在对象资源管理器中，展开安全性-登录名，可以看到winuser已存在

 

此处也能看到该用户

 

 

 

 

 

 验证用WinUser账号登录SQL Server：首先在操作系统中注销当前用户的登陆，将用户切换到WinUser，再用此账号连接SQL Server查询分析器，用Windows身份验证登录,可以进入查询分析器，使用数据库master和student。

    由于远程桌面注销会又会自动连接，所以我们需要先修改当前用户(administrator)的登录密码。

    来到桌面，右击我的电脑，点击管理，在计算机管理窗口，依次展开 系统工具-本地用户和组-用户(不会的可参考之前新建winuser时的步骤)，在右侧右击administrator，选择设置密码。

 

 

 

会弹出如下对话框，点击继续。

    

    然后设置一个密码(我设置的密码是admin)，可以随意设置，但是需要记住密码，后面还需要登陆该用户。

 

 

 

 

然后点击左下角注销

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 登录后，点击左下角的开始-所有程序-Microsoft SQL Server 2005-SQL Server Management Studio 进入SQL Server Management Studio。

 

 

 

 

 

 

点击连接后，登陆成功，此时可以新建查询，使用数据库master和student。

    （2）使用SQL Server Management Studio管理SQL Server身份验证的登录帐号。

    注销winuser，切换到administrator用户(不会的可参考之前从administrator切换到winuser的步骤)。

    ①在 SQL Server Management Studio中，展开实例下的“安全性”，右击“登录名”按钮，在弹出的快捷菜单中选择“新建登录”(参考前面新建登录步骤)，

    ②在登录名输入框内输入需要新建的用户名，这里新建的用户名是SQLUser。验证方式选择SQL Server身份验证，然后在密码框输入SQLUser的密码。这里设置成test。把强制实施密码策略的复选框去勾选去掉，默认数据库选择master，然后点击确认。

   

 

 

 

 注意：采用该方法创建的SQL Server登录账号只能用于登录SQL Server服务，与登录的计算机的Windows账号无关，不能用此账号登录Windows。

    ③单击“用户映射”，在“映射到此用登录名的用户”中，将所有数据库都选中，下方的数据库角色成员身份全部选择public,然后单击确定完成账号的创建。

   

 

 

 

  ④关闭SQL Server Management Studio重新打开，在登录页面处身份验证选择SQL Server身份验证。然后输入刚才新建的账号和密码，然后点击连接。

   

 

 

 登录成功，此时可以新建查询来查询数据

管理数据库用户

    数据库用户对数据的访问权限以及对数据库对象的所有关系都是通过用户账号来控制的。在数据库中，用户账号与登录账号是两个不同的概念。一个合法的登录账号只表明该账号通过了Windows认证或SQL Server 认证，但不能表明其可以对数据库数据和数据对象进行某种或某些操作，只有其同时拥有了用户账号后，才能够访问数据库。所以一个登录账号总是与一个或多个数据库用户账号（这些账号必须分别存在相异的数据库中）相对应，这样才可以访问数据库。

    （1）创建数据库用户

    打开SQL Server Management Studio，展开服务器-数据库，选择要创建用户的数据库，如student，展开student，用鼠标右键单击“安全性”节点，从弹出的菜单中选择“新建-用户”命令。

 

 

 弹出“新建用户”对话框，在用户名输入框输入要新建的数据库用户名称，如dbuser

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 在此用户拥有的架构勾选db_owner，数据库角色成员身份同样选择db_owner，单击“确定”按钮，即可完成数据库用户的创建。

 

 

 

（2）修改用户信息

    用鼠标右键单击要修改的用户，在系统弹出菜单上单击“属性”

 

 

 

可打开“数据库用户”对话框查看该用户的信息，同时需要时能直接修改相应用户的设置信息。

    

    （3）删除数据库用户。

    在企业管理器中，用鼠标右键单击要删除的数据库用户，如数据库student中的数据库用户dbuser，从快捷菜单中选择“删除”命令即可。

 

 

 

管理数据库角色

    SQL Server有自己的固有角色。固有角色是指 SQL Server预先定义好的系统角色。用户不能修改这些角色的任何属性，也不能创建新的服务器固有角色和数据库固有角色。

    数据库角色是在数据库的安全级别上创建，一个数据库角色只在其所在的数据库中有效，对其他数据库无效。在数据库中，除了有固有的数据库角色外，还可以自定义数据库角色，同时根据需要，可以为数据库角色添加成员或删除自定义角色。

    1.创建数据库角色

    打开SQL Server Management Studio，展开服务器-数据库，选择要创建用户的数据库，如student，展开student，用鼠标右键单击“安全性”节点，从弹出的菜单中选择“新建-数据库角色”命令。

 

 

 弹出“新建角色”对话框，在角色名称输入框中输入数据库新角色的名称，如NewRole，点击所有者后面的按钮

在里面选择一个用户,

 

 

 

 

 

 不成功可以换其他用户，可以在安全性-角色-数据库角色中看到，刚才添加的角色已经成功。

 

 

 

（2）删除自定义的数据库角色

    在SQL Server Management Studio中，用鼠标右键单击要删除的自定义角色，如NewRole，从弹出的菜单中选择“删除”命令即可删除自定义角色。

 

 

 

 管理数据库权限

    权限用来指定授权用户可以使用的数据库对象和这些授权用户可以对这些数据库对象执行的操作。用户在登录到SQL Server之后，其用户账号所归属的NT组或角色所被赋予的权限决定了该用户能够对哪些数据库对象执行哪种操作以及能够访问、修改哪些数据。在SQL Server中包括语句级权限和对象级权限。

    （1）进行语句级权限管理：

    启动SQL Server Management Studio，展开实例数据库，右击student数据库，在弹出的快捷菜单中选择“属性”，然后选择“权限”选项卡。在用户WinUser一栏中，将“创建表”和“创建视图”选中.

   

 

在SQLUser一栏中，则选择除“创建表”和“创建视图”以外的选项

 

 

 

 

 

图中权限设置的方法是：

    许可权限中复选框单击为勾号时：表示授予该权限。

    许可权限中复选框单击为叉号时：表示角色或用户不具有该操作权限。

    许可权限中复选框既没勾号，也没叉号时：表示角色或用户是否具有该操作权限要根据隐含规则来决定。

    这样的结果是，授予用户WinUser可以在数据库student中创建视图和表。授予用户SQLUser可以在数据库student中进行除创建视图和表以外的所有操作。

 

 

分析与思考

1、 SQL Server的Windows认证模式和混合认证模式的区别？

  在安装过程中，必须为数据库引擎选择身份验证模式。可供选择的模式有两种：Windows 身份验证模式和混合模式。Windows 身份验证模式会启用 Windows 身份验证并禁用 SQL Server 身份验证。混合模式会同时启用 Windows 身份验证和 SQL Server 身份验证。Windows 身份验证始终可用，并且无法禁用。

2、 分析数据库各种角色权限的异同，自定义数据库，并进行权限管理，深入理解实验原理。

3、 查阅近期数据库安全事件，分析攻击原理，掌握数据库安全的重要性

常见的数据库攻击包括口令入侵、特权提升、漏洞入侵、SQL注入、窃取备份等。

下图为SQL攻击原理

 

 

 数据库安全包含两层含义，第一层是指系统运行安全，系统运行安全通常受到的威胁如下，一些网络不法分子通过网络，局域网等途径通过入侵电脑使系统无法正常启动，或超负荷让机子运行大量算法，第二层是指系统信息安全，系统安全通常受到的威胁如下，黑客对数据库入侵，并盗取想要的资料。所有数据库安全是十分重要的。