| SYSADMIN和DB_OWNER 真是让人又爱又恨。攻击者一但确认了网站存在SQL INJECTION漏洞，肯定有一步操作步骤就是测试网站的SQL SERVER使用者具有多大的权限。一般都会借助
SELECT IS_SRVROLEMEMBER(''''sysadmin'''')
或者
SELECT IS_MEMBER(''''db_owner'''')
再或者
user =0
(让字符和数字进行比较，SQL SERVER就会提示了错误信息，从该信息中即可知道一些敏感信息)等语句进行测试。当然还有其他的方法。在当前，如果网站的数据库使用者用的是SA权限，再加上确认了WEB所处在的绝对路径，那么就宣告了你的网站的OVER。DB_OWNER权限也一样，如果确认了绝对路径，那么有50％的机会能给你的机器中上WEB方式的木马，如海阳等。所以这儿我们确认了一点，我们必须要创建自已的权限，让攻击者找不着下手的地方。在这儿引用一个SQL SERVER联机帮助中的例子：
创建 SQL Server 数据库角色的方法（企业管理器）
创建 SQL Server 数据库角色
1. 展开服务器组，然后展开服务器。
2. 展开"数据库"文件夹，然后展开要在其中创建角色的数据库。
3. 右击"角色"，然后单击"新建数据库角色"命令。
4. 在"名称"框中输入新角色的名称。
5. 单击"添加"将成员添加到 上一页 [1] [2] [3] [4] [5] [6] 下一页 | 
