MS SQL 2000 安全设置
日前SQL INJECTION的攻击测试愈演愈烈，很多大型的网站和论坛都相继被注入。这些网站一般使用的多为SQL SERVER数据库，正因为如此，很多人开始怀疑SQL SERVER的安全性。其实SQL SERVER 2000已经通过了美国政府的C2级安全认证-这是该行业所能拥有的最高认证级别，所以使用SQL SERVER还是相当的安全的。当然和ORCAL、DB2等还是有差距，但是SQL SERVER的易用性和广泛性还是能成为我们继续使用下去的理由。那怎么样才能使SQL SERVER的设置让人使用的放心呢？
第一步肯定是打上SQL SERVER最新的安全补丁，现在补丁已经出到了SP3，下载地址：http://www.microsoft.com/sql/downloads/2000/sp3.asp 。如果这一步都没有做好，那我们也没有继续下去的必要了。
第二步是修改默认的1433端口，并且将SQL SERVER隐藏。这样能禁止对试图枚举网络上现有的 SQL Server 客户端所发出的广播作出响应。另外，还需要在TCP/IP筛选中将1433端口屏蔽掉，尽可能的隐藏你的SQL SERVER数据库。这样子一但让攻击创建了SQL SERVER的账号，也不能马上使用查询分析器远程登陆来进行下一步的攻击。单从ASP，PHP等页面构造恶意语句的话，还有需要查看返回值的问题，总比 不上直接查询分析器来得利落。所以我们首先要做到即使让别人注入了，也不能让攻击者下一步做得顺当。修改方法：企业管理器 --> 你的数据库组 --> 属性 --> 常规 --> 网络配置 --> TCP/IP --> 属性 ，在这儿将你的默认端口进行修改，和SQL SERVER的隐藏。
第三步是很重要的一步，SQL INJECTION往往在WEB CODE中产生。而做为系统管理员或者数据库管理员，总不能常常的去看每一段代码。即使常常看代码，也不能保证我们在上面的疏忽。那怎么办？我们就要从数 据库角色着手，让数据库用户的权限划分到最低点。SQL SERVER的默认权限让人真的很头疼，权限大得非常的高，权限小的又什么都做不了，SYSADMIN和db_owner真是让人又爱又恨。攻击者一但确 认了网站存在SQL INJECTION漏洞，肯定有一步操作步骤就是测试网站的SQL SERVER使用者具有多大的权限。一般都会借助SELECT IS_SRVROLEMEMBER('sysadmin')，或者SELECT IS_MEMBER('db_owner')，再或者用user = 0(让字符和数字进行比较，SQL SERVER就会提示了错误信息，从该信息中即可知道一些敏感信息)等语句进行测试。方法还有，我也不敢多说了。其一怕错，其二怕联盟中的人扁。在当前，如果网站的数据库使用者用的是SA权限，再加上确认�
相关文档：
shopxp网上购物系统 v7.4存在Sql注入漏洞。
问题文件：xpCatalog_xpDesc.asp，xpCatalog_xpsmall_Desc.asp
问题代码：
<%
dim shopxpbe_id, anclassname, shopxpse_id, nclassname
dim totalPut
dim CurrentPage, TotalPages
if request("shopxpbe_id")<>"" then
shopxpbe_id=request("shopxpbe_id")
e ......
1 PLS_INTEGER
PLS_INTEGER可以存储一个有符号的整形值，其精度范围和BINARY_INTEGER一样，是：-2^31~2^31。
PLS_INTEGER和NUMBER比较起来，其优点是：
1).占有较少的存储空间；
2).可以直接进行算术运算（在NUMBER上不能直接进行算术运算，如果要计算，NUMBER必须先被转换成二进制）。所以在进行算术的时候PLS_INTEGER ......
调用 MS SQL 标量值函数，应该在函数前面加上 "dbo."，否则会报 “不是可以识别的 内置函数名称”错误。例如
DECLARE @WhichDB TINYINT;
SELECT @WhichDB = user_GetWhichDB(1);--看看是哪个数据库的
=================================================
-- ......
感谢提康德罗加的投递
就像当年波士顿的爱国者为反抗英国重税的行动一样，NoSQL的支持者们从各地涌来，分享他们如何推翻缓慢而昂贵的关系数据库的暴政，怎样使用更有效和更便宜的方法来管理数据，他们开始对SQL说不！NoSQL组织上个月在旧金山的行动让人闻到了数据库革命的味道，好像一个现代IT业版的波 ......
WITH V AS(SELECT ROW_NUMBER() OVER(order by fcustid desc) AS RN,* from ts_dict AS SourceView)
SELECT * from V WHERE RN BETWEEN 1 AND 10
转载地址：http://www.cnblogs.com/nokiaguy/archive/2009/02/05/1384860.html
排名函数是SQL Server2005新加的功能。在SQL Server2005中有如下四个排名� ......
