Bu yazı SQL Server 2008 ve sonrasi için geçerli bir yazıdır. SQL Server üzerinde tanımlı SQL loginlerin şifrelerinin bazı çok bilinen şifrelerle aynı olup olmadığı kontrolü yapılır. Faydalı oması dileğiyle.
İlgili Transact-SQL'in kullanım şekli (syntax) aşağıdaki gibidir.
PWDCOMPARE ( 'clear_text_password', password_hash [ , version ] )Kullanılabilecek argümanların açıklaması aşağıdaki gibidir.
- clear_text_password: Kontrol edeceğimiz şifrelenmemiş (unecnrypted) password.
- password_hash: Logine ait password encrption hash bilgisi.
- version: İsteğe bağlı olarak kullanılabilen bu parametre ile SQL Server 2000 öncesinden taşınan ancak yeni versiyona convert edilmemiş loginlerin password_hashlerinin kontrol edilmesi imkanı tanınır.
Aşağıdaki T-SQL ile şifresi boş olan loginler getirilir.
SELECT name FROM sys.sql_logins
WHERE PWDCOMPARE('', password_hash) = 1
Aşağıdaki T-SQL ile şifresi password olan loginler getirilir.
SELECT name FROM sys.sql_logins
WHERE PWDCOMPARE('password',
password_hash) =
1
Aşağıdaki T-SQL ile şifresi login ismiyle aynı olan loginler getirilir.
SELECT name FROM sys.sql_logins
WHERE PWDCOMPARE(name, password_hash) = 1
Bu scriptler data güvenliğinizi maksimize edebilmek adına çeşitlendirilerek kullanılabilir. Aynı zamanda database hack tehditlerine karşı mutlaka sistemde takip edilmesi gereken bir T-SQL syntaxı olarak yer almalıdır. Bilgimiz dışında çalıştırıldığında üretilecek alert mekanizmalarıyla durum kontrol altına alınmalıdır.
Yorumlar
Yorum Gönder