1、背景html
有一天我發現SQL Server服務器的錯誤日誌中包括很是多關於sa用戶的登錄錯誤信息:「Login failed for user 'sa'. 緣由: 評估密碼時出錯。[客戶端: XX.XX.XX.XX]」。但是我好久以前就已經禁用了sa用戶,怎麼還會有那麼多的sa用戶登錄信息呢?我猜測是有人在暴力破解咱們數據庫的sa用戶的密碼;關於這種攻擊,你們有沒好的解決方案呢?sql
我查找了一些資料,暫時沒有找到好的解決方案。我只想到一個暫時緩解壓力的辦法,那就是從錯誤信息中統計出登錄sa用戶的客戶端IP地址,再設置防火牆把這些IP過濾掉。數據庫
那如今如何解決IP的統計呢?使用SSMS是根本沒法進行統計,由於錯誤日誌的記錄太多了。SSMS打開錯誤日誌的方式以下圖Figure1和Figure2所示;安全
(Figure1:SQL Server 日誌)服務器
(Figure2:sa登錄信息)網絡
通過資料的查找,發現有兩種方式能夠對錯誤日誌進行過濾:性能
1. 利用SQL Server系統存儲過程xp_readerrorlog進行過濾;學習
2. 利用默認跟蹤(Default Trace)進行過濾;this
2、xp_readerrorlog實現錯誤日誌過濾spa
(一) 關於錯誤日誌的基本操做能夠參考:SQL Server錯誤日誌收縮(ERRORLOG)。首先了解錯誤日誌文件的路徑和大小,能夠經過Figure3的方式找到文件,查看大小。
(Figure3:SQL Server ErrorLog文件信息)
除了Figure3直接找到錯誤日誌的方式以外,咱們還能夠經過執行存儲過程EXEC xp_enumerrorlogs返回表的形式進行查看信息,如Figure4所示。xp_enumerrorlogs存儲過程還提供參數,默認值爲1(若是沒有提供參數表示傳入的參數爲1),2的時候表示查詢SQL Server 代理錯誤日誌列表,如Figure13所示。
--Script1:獲取[SQL Server]錯誤日誌列表 EXEC xp_enumerrorlogs EXEC xp_enumerrorlogs 1
(Figure4:SQL Server 錯誤日誌列表)
(二) 接下來了解系統存儲過程:xp_readerrorlog,它一共有7個參數,分別是:
1. 存檔編號(0~99)
2. 日誌類型(1爲SQL Server日誌,2爲SQL Server Agent日誌)
3. 查詢包含的字符串
4. 查詢包含的字符串
5. LogDate開始時間
6. LogDate結束時間
7. 結果排序,按LogDate排序(Desc、Asc)
(三) 接着講解xp_readerrorlog系統存儲過程的運用:
1. 若是你想查詢當前SQL Server錯誤日誌文件(當前正在寫入錯誤信息的文件)的內容,請執行SQL腳本:EXEC xp_readerrorlog,存檔編號的默認值爲0,它至關於打開文件ERRORLOG(路徑可參考Figure3),若是想讀取其它的歷史錯誤日誌文件,直接填寫對應的存檔編號就能夠了(存檔編號能夠參考Figure4),下面3條SQL語句的執行效果是同樣的:
--Script2:查詢當前SQL Server日誌信息 EXEC xp_readerrorlog EXEC xp_readerrorlog 0 EXEC xp_readerrorlog 0,1
(Figure5:當前SQL Server錯誤日誌)
查詢存檔編號爲n(n Between 0 And 99)的SQL Server日誌信息:Exec xp_readerrorlog n,n爲何只能0~99?可參考:SQL Server錯誤日誌收縮(ERRORLOG)
2. 咱們繼續學習其它參數的使用,查看SQL Server日誌歷史存檔爲1文件中,發生的時間爲2013-05-09至2013-05-10之間的錯誤,排序方式爲時間的倒排序,爲了知足上面的要求,執行下面的SQL腳本:
--Script3:查看SQL Server日誌存檔爲1,時間範圍爲XX,按照時間反排序 EXEC xp_readerrorlog 1,1,NULL,NULL,'2013-05-09','2013-05-10','DESC'
(Figure6:錯誤日誌時間過濾)
3. 查看SQL Server日誌歷史存檔爲1文件中,錯誤內容裏面包含字符串:'Login failed for user ''sa''',而且包括字符串:'192.168.1.5',發生的時間爲2013-05-09至2013-05-10之間的錯誤,排序方式爲時間的倒排序,爲了知足上面的要求,執行下面的SQL腳本:
--Script4:查看SQL Server日誌存檔爲,包含XX字符串,而且包含%%字符串,時間範圍爲XX,按照時間反排序 EXEC xp_readerrorlog 1,1,'Login failed for user ''sa''','192.168.1.5','2013-05-09','2013-05-10','DESC'
(Figure7:錯誤日誌字符串+日期過濾)
3、Default Trace實現錯誤日誌過濾
1. 關於默認跟蹤(Default Trace)基礎知識能夠參考: SQL Server 默認跟蹤(Default Trace)
2. 要過濾錯誤日誌,那首先就要知道在默認跟蹤中那個類型trace_event_id是表明錯誤日誌的,在Read Default Trace中描述了關於trace_event_id的信息:If you are interested in what the default trace has been setup to capture you can run this (Note you cannot edit the default trace!)。
--Script5:trace_event SELECT * FROM fn_trace_geteventinfo(1) tg INNER JOIN sys.trace_events te ON tg.[eventid] = te.[trace_event_id] INNER JOIN sys.trace_columns tc ON tg.[columnid] = tc.[trace_column_id] WHERE te.name like '%login%'
(Figure8:trace_event_id信息)
經過上面Script5的SQL腳本,咱們知道須要監控EventName爲:Audit Login Failed,trace_event_id爲20的信息,如Figure8所示。另外查看方式:sp_trace_setevent,在這裏你也能夠找到關於Login Failed描述所對應的Event number。
3. 下面咱們來實現使用fn_trace_gettable讀取log.trc文件的方式來過濾錯誤日誌:
--Script6:返回登錄錯誤信息 -- ============================================= -- Author: <聽風吹雨> -- Create date: <2013.05.03> -- Description: <讀取、過濾log.trc文件> -- Blog: <http://www.cnblogs.com/gaizai/> -- ============================================= DECLARE @tracefile NVARCHAR(MAX) SET @tracefile = (SELECT LEFT([path],LEN([path])-CHARINDEX('\',REVERSE([path])))+ '\log.trc' FROM sys.traces WHERE [is_default] = 1) SELECT gt.[ServerName] ,gt.[DatabaseName] ,gt.[SPID] ,gt.[StartTime] ,gt.[ObjectName] ,gt.[objecttype] [ObjectTypeID]--http://msdn.microsoft.com/en-us/library/ms180953.aspx ,sv.[subclass_name] [ObjectType] ,e.[category_id] [CategoryID] ,c.[Name] [Category] ,gt.[EventClass] [EventID] ,e.[Name] [EventName] ,gt.[LoginName] ,gt.[ApplicationName] ,gt.[TextData] FROM fn_trace_gettable(@tracefile, DEFAULT) gt LEFT JOIN sys.trace_subclass_values sv ON gt.[eventclass] = sv.[trace_event_id] AND sv.[subclass_value] = gt.[objecttype] INNER JOIN sys.trace_events e ON gt.[eventclass] = e.[trace_event_id] INNER JOIN sys.trace_categories c ON e.[category_id] = c.[category_id] WHERE gt.[spid] > 50 AND gt.[databasename] = 'master' AND e.category_id = 8 --category 8表示安全 AND gt.[starttime] >= '2013-05-13 12:00:00' AND gt.[starttime] <= '2013-05-14' AND e.trace_event_id = 20 ORDER BY StartTime DESC
(Figure9:Default Trace返回的錯誤日誌)
4. 爲了讓默認跟蹤Default Trace和xp_readerrorlog返回的數據進行對比,咱們再次執行xp_readerrorlog,使用參數儘可能與Default Trace保持一致。
--Script7:對比 EXEC xp_readerrorlog 0,1,'Login failed for user ''sa''','','2013-05-13 12:00:00','2013-05-14','DESC'
(Figure10:xp_readerrorlog返回的錯誤日誌)
對比Figure9與Figure10的信息,發現返回的記錄數基本上是相同的。
4、補充說明
1. xp_enumerrorlogs和xp_readerrorlog除了能夠查看【SQL Server錯誤日誌】還能夠查看【SQL Server 代理錯誤日誌】。在SSMS中能夠直接查看代理錯誤日誌,如Figure11所示,它的路徑和文件如Figure12所示,xp_enumerrorlogs值爲2的時候表示查詢SQL Server 代理錯誤日誌列表,如Figure13所示。
--Script5:獲取[SQL Server 代理]錯誤日誌列表 EXEC xp_enumerrorlogs 2
(Figure11:SQL Server Agent日誌)
(Figure12:SQL Server Agent ErrorLog文件信息)
(Figure13:SQL Server 代理錯誤日誌列表)
值得注意的是【SQL Server 代理錯誤日誌】並無SQLAGENT.0這個文件,Figure13中的當前 = Figure14中的SQLAGENT.OUT = Figure15中的存檔#10記錄;若是要確認這一點,你能夠經過日誌文件的內容和文件的大小進行確認。
2. 因爲個人數據庫須要外網訪問,因此沒有辦法作不少的改動,好比換數據庫的端口,已經有太多的運用程序在使用了。(這個能夠經過解決方案設計解決:SQL Server 數據庫賬號密碼安全設計)
3. 因爲是sa沒法在【是否容許鏈接到數據庫引擎】選擇【拒絕】選項,如Figure14所示。有沒好的辦法能夠防止sa的暴力破解呢?雖然這樣不會形成數據庫建立連接,可是這樣會形成:消耗網絡流量;消耗數據庫服務器的性能;消耗SQL Server日誌容量;消耗ERRORLOG日誌文件帶來的磁盤IO(雖然能夠經過Figure15那樣設置不記錄登錄信息,可是這樣日誌記錄就沒有意義了);
(Figure14:賬號設置)
(Figure15:設置日誌記錄)
北京-宋沄劍提到把sa修改掉,修改後只是提示信息變爲:「Login failed for user 'sa'. 緣由: 找不到與所提供的名稱相匹配的登陸名。 [客戶端: 60.190.118.153]」,問題仍是存在。(修改以前錯誤信息是:Login failed for user 'sa'. 緣由: 評估密碼時出錯。 [客戶端: 60.190.118.153])
4. 使用sp_helptext是沒法找到系統存儲過程xp_enumerrorlogs和xp_readerrorlog的源代碼的,這個是爲何呢?
--查看存儲過程或者視圖源碼 exec sp_helptext 'xp_enumerrorlogs' exec sp_helptext 'xp_readerrorlog'
(Figure16:sp_helptext)
5. 關於ERROR文件記錄內容的詳細解析能夠參考:SQLSERVER errorlog講解
6. 若是不想在log.trc中看到有關Login failed for user 'sa'.的錯誤日誌,能夠修改默認跟蹤嗎?在sp_trace_setevent (Transact-SQL)中提到:
1) 若是將 on 設置爲 1,而且 column_id 爲 NULL,則將事件設置爲 ON 並清除全部列。若是 column_id 不爲 NULL,則將該事件的列設置爲 ON。
2) 若是將 on 設置爲 0,而且 column_id 爲 NULL,則將事件設置爲 OFF 並清除全部列。若是 column_id 不爲 NULL,則將列設置爲 OFF。
(Figure17:修改默認跟蹤錯誤)
7. 關於使用xp_readerrorlog讀取ERROR文件記錄內容,有沒方法一次性讀取全部的ERROR文件的數據呢?使用UNION ALL?
5、參考文獻
sql server xp_readerrorlog SQL語句查看錯誤日誌
在SQL Server 2005中使用xp_ReadErrorLog讀取錯誤日誌
在sql server 2008中使用xp_ReadErrorLog讀取錯誤日誌
Using xp_ReadErrorLog in SQL Server 2005
SQL Server 存儲過程 sp_helptext的不足以及解決方案