5.安全加固建议
基于以上的测试分析，我们提出如下三点安全加固建议供数据库管理员参考使用。
（1）使用健壮的用户口令策略。我们把用户口令策略摆在所有安全配置的最前面，这是因为我们发现在政府部门和企业组织的数据库中，很多数据库账号的口令过于简单，特别是SA用户更应该注意。SQL Server 2000安装时，如果是使用混合模式，那么就需要输入SA的密码，除非你确认必须使用空密码。同时要养成定期修改口令的好习惯。数据库管理员应该定期查看是否有不符合口令要求的账号。
（2）管理扩展存储过程。对存储过程进行大手术，并且对账号调用扩展存储过程的权限要慎重。其实在多数应用中根本用不到多少系统的存储过程，而SQL Server的这么多系统存储过程只是用来适应广大用户需求的，所以请删除不必要的存储过程，因为有些系统的存储过程能很容易地被人利用起来提升权限或进行破坏。特别是扩展存储过程xp_cmdshell，如果你不需要它，就删除它。同时，去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操作系统管理员的密码来。
（3）进行及时升级管理。数据库版本信息可以帮助渗透人员确定相应版本存在的漏洞，以便更好地组织渗透。对SQL Server，版本信息还可以告知安装的补丁信息，如表1。
