sql - SQL Profiler 2008 - パスワードを表示

Question

Sql Profiler 2008 が password と呼ばれる sp パラメータを含むトレース出力を隠していないことに気付きました。2005 年には、「セキュリティ上の理由により、テキストはこのコメントに置き換えられました」というメッセージが表示されていました。

彼らはこのセキュリティ機能を削除しましたか?

Answer 1

文字列「パスワード」をトラップすることと、本物のセキュリティ ホールをトラップすることには違いがあります。

これを試して：

CREATE LOGIN foo WITH PASSWORD = 'bar'

SQL 2005 プロファイラー:

--*CREATE LOGIN-----------------------

セキュリティは保たれています。

ここで、動的 SQL をパスワード列に送信する場合...

Answer 2

はい、プロファイラーで「パスワード」を自動的に除外するために使用されていました。これはおそらく SQL Server 2000 SP4 で追加された機能だと思いますが、多くの人がこれをオフにしたいのを見てきました。彼らは実際に見たかった。したがって、MSがそれを削除したかどうか、またはその機能を切り替え可能にしたかどうかはわかりません-2008 atmについては何も見つからないようです.

編集： 2008年に関してこれに関する情報が見つかりません。私が見つけることができるものはすべて、反対のことをしたい人々に関連しています-SQL 2000/2005では、その「機能」をオフに切り替えます。 「pwd」のような代替名を持つ「password」パラメーター。

Answer 3

ただし、パスワードをパラメーターとして渡すと、それが表示されます。ソリューションは、データベースで暗号化されたパスワードを保存する必要があります。このソリューションでは、パスワードを暗号化して渡す必要があります。