[转]如何在不提升用户权限的情况下，使普通用户执行xp_cmdshell存储过程

从安全的角度来考虑，禁用xp_cmdsehll是最保险的，即使为了特殊目的而要求使用它，也最好能够编写一些实现这个特殊目的的用户存储过程，只在这个用户存储过程中使用xp_cmdshell，而普通用户只能使用这些用户存储过程。下面的示例显示如何使普通用户在不具有执行存储过程xp_cmdshell的权限下，调用包含了执行xp_cmdshell代码的用户存储过程的方法。-- 1. 具有执行xp_cmdshell 权限的登录USE master;GO-- 1.a. 建立登录CREATE LOGIN Cmd_LoginWITH PASSWORD = N'Pwd.123', CHECK_POLICY = OFF;GO-- 1.b. 这个登录是内置的, 不允许登录, 这样可以减少安全隐藏DENY CONNECT SQL TO Cmd_Login;GO-- 1.c. 因为要调用xp_cmdshell , 所以在master 中要有用户, 并具有权限CREATE USER Cmd_LoginFOR LOGIN Cmd_LoginWITH DEFAULT_SCHEMA = dbo;GRANT EXECUTE ON sys.xp_cmdshell TO Cmd_Login;GO -- 2. 用户数据库USE tempdb;GO-- 2.a 为执行xp_cmdshell 权限的登录建立用户CREATE USER Cmd_LoginFOR LOGIN Cmd_LoginWITH DEFAULT_SCHEMA = dbo;GO-- 2.b 测试存储过程CREATE PROC dbo.pWITH EXECUTE AS N'Cmd_Login' -- 指定存储过程的执行时的上下文AS EXEC master.sys.xp_cmdshell 'dir c:\'GO-- 3. 调用存储过程的普通登录USE master;GO-- 3.a 登录CREATE LOGIN testWITH PASSWORD = N'abc.123', CHECK_POLICY = OFF;GO-- 3.b 数据库用户USE tempdb;GOCREATE USER testFOR LOGIN test;GO-- 3.c 执行存储过程的权限GRANT EXECUTE ON dbo.p TO test;GO-- 3.d 执行测试EXECUTE AS LOGIN = N'test';GOEXEC dbo.p;GOREVERT;GO-- 4. 删除测试DROP PROC dbo.p;DROP USER test;DROP USER Cmd_Login;USE master;DROP LOGIN test;DROP USER Cmd_Login;DROP LOGIN Cmd_Login; 补充说明多数情况下，数据库的所有者是sa一类的sysadmin固定服务器角色的成员，所以在这种情况下，也可以直接指定使用数据库所有者作为存储过程执行的安全上下文。-- 2. 用户数据库USE tempdb;GO-- 2.b 测试存储过程CREATE PROC dbo.pWITH EXECUTE AS N'dbo' -- 指定存储过程的执行时的上下文ASEXEC master.sys.xp_cmdshell 'dir c:\'GO- 3. 调用存储过程的普通登录USE master;GO-- 3.a 登录CREATE LOGIN testWITH PASSWORD = N'abc.123', CHECK_POLICY = OFF;GO-- 3.b 数据库用户USE tempdb;GOCREATE USER testFOR LOGIN test;GO-- 3.c 执行存储过程的权限GRANT EXECUTE ON dbo.p TO test;GO-- 3.d 执行测试EXECUTE AS LOGIN = N'test';GOEXEC dbo.p;GOREVERT;GO-- 4. 删除测试DROP PROC dbo.p;DROP USER test; USE master;DROP LOGIN test;使用前述方法的时候，实例中需要有xp_cmdshell代理帐户（默认是没有的）， 否则会收到下面的错误信息。消息15153，级别16，状态1，过程xp_cmdshell，第1 行xp_cmdshell 代理帐户信息无法检索或无效。请验证'##xp_cmdshell_proxy_account##' 凭据存在并且包含有效的信息。