如何在不提升用戶權(quán)限的情況下，使普通用戶執(zhí)行sp_OACreate存儲(chǔ)過程 收藏
環(huán)境需求：
SQL Server 2005 及之后的版本
背景
在論壇上遇到一個(gè)問題，詢問如何使用一個(gè)普通用戶調(diào)用一個(gè)存儲(chǔ)過程，這個(gè)存儲(chǔ)過程使用了sp_OACreate這一系列存儲(chǔ)過程來執(zhí)行一些非常規(guī)的任務(wù)。當(dāng)然，前提是普通用戶只有調(diào)用這個(gè)存儲(chǔ)過程的時(shí)候才能獲得執(zhí)行sp_OACreate的權(quán)限。最初的時(shí)候也沒有仔細(xì)考慮，心想，sp_OACreate需要具有sysadmin固定服務(wù)器角色的成員身份才能調(diào)用，那么直接在存儲(chǔ)過程用EXECUTE AS LOGIN將會(huì)話的執(zhí)行上下文設(shè)置了一個(gè)sysadmin固定服務(wù)器角色的成員就好了吧，于是給了一段T-SQL腳本。
但隨后發(fā)現(xiàn)是行不通的，如果要用EXECUTE AS LOGIN，調(diào)用者必須對(duì)要模擬的登錄具有IMPERSONATE權(quán)限，但如果普通用戶拿到了這個(gè)權(quán)限，則他可以隨時(shí)使用EXECUTE AS LOGIN，沒有達(dá)到“普通用戶只有調(diào)用這個(gè)存儲(chǔ)過程的時(shí)候才能獲得執(zhí)行sp_OACreate的權(quán)限”的控制目的。
錯(cuò)誤的解決辦法
USE master;
GO
-- 建立登錄
CREATE LOGIN OA_login
WITH PASSWORD = N'Pwd.123',
CHECK_POLICY = OFF;
GO
-- 授予權(quán)限
EXEC sp_addsrvrolemember N'OA_login', N'sysadmin';
GO
-- 這個(gè)登錄是內(nèi)置的, 不允許登錄, 這樣可以減少安全隱藏
DENY CONNECT SQL
TO oa_login;
GO
-- 被調(diào)用的存儲(chǔ)過程
USE tempdb;
GO
CREATE PROC dbo.p
AS
EXECUTE AS LOGIN = N'OA_login' ;
-- 調(diào)用sp_OACreate 的代碼
--EXEC sp_OACreate;
REVERT;
GO
當(dāng)試圖使用普通用戶調(diào)用上面的存儲(chǔ)過程的時(shí)候，會(huì)收到如下的錯(cuò)誤信息。
無法作為服務(wù)器主體執(zhí)行，因?yàn)橹黧w "grant_login" 不存在、無法模擬這種類型的主體，或您沒有所需的權(quán)限。
正確的解決辦法
正確的解決辦法是在通過存儲(chǔ)過程的EXEUTE AS指定存儲(chǔ)過程執(zhí)行時(shí)的安全上下文，當(dāng)然，這個(gè)被指定的用戶要求能夠調(diào)用sp_OACreate這一系列存儲(chǔ)過程。
-- 1. 具有執(zhí)行sp_OA... 權(quán)限的登錄
USE master;
GO
-- 1.a. 建立登錄
CREATE LOGIN OA_login
WITH PASSWORD = N'Pwd.123',
CHECK_POLICY = OFF;
GO
-- 1.b. 這個(gè)登錄是內(nèi)置的, 不允許登錄, 這樣可以減少安全隱藏
DENY CONNECT SQL
TO OA_login;
GO
-- 1.c. 因?yàn)橐褂胹p_OA 這一系列的存儲(chǔ)過程, 所以在 master 中要有用戶, 并具有權(quán)限
CREATE USER OA_login
FOR LOGIN OA_login
WITH DEFAULT_SCHEMA = dbo;
GRANT EXECUTE ON sys.sp_OACreate
TO OA_login;
GRANT EXECUTE ON sys.sp_OADestroy
TO OA_login;
GRANT EXECUTE ON sys.sp_OAGetErrorInfo
TO OA_login;
GRANT EXECUTE ON sys.sp_OAGetProperty
TO OA_login;
GRANT EXECUTE ON sys.sp_OAMethod
TO OA_login;
GRANT EXECUTE ON sys.sp_OASetProperty
TO OA_login;
GRANT EXECUTE ON sys.sp_OAStop
TO OA_login;
GO
-- 2. 用戶數(shù)據(jù)庫
USE tempdb;
GO
-- 2.a 為執(zhí)行sp_OA... 權(quán)限的登錄建立用戶
CREATE USER OA_login
FOR LOGIN OA_login
WITH DEFAULT_SCHEMA = dbo;
GO
-- 2.b 測(cè)試存儲(chǔ)過程
CREATE PROC dbo.p
WITH EXECUTE AS N'OA_login' -- 指定存儲(chǔ)過程的執(zhí)行時(shí)的上下文
AS
DECLARE @object int;
DECLARE @hr int;
DECLARE @src varchar(255), @desc varchar(255);
EXEC @hr = sp_OACreate 'ADODB.RecordSet', @object OUT;
IF @hr <> 0
GOTO lb_Err;
EXEC @hr = sp_OAMethod @object, 'Open', NULL, 'SELECT ServerName = @@SERVERNAME', N'Provider=SQLOLEDB.1;Integrated Security=SSPI';
IF @hr <> 0
GOTO lb_Err;
EXEC @hr = sp_OAMethod @object, 'GetRows';
IF @hr <> 0
GOTO lb_Err;
EXEC @hr = sp_OADestroy @object;
RETURN;
lb_Err:
BEGIN
EXEC sp_OAGetErrorInfo @object, @src OUT, @desc OUT ;
RAISERROR('Error Creating COM Component 0x%x, %s, %s',16,1, @hr, @src, @desc);
END;
GO
-- 3. 調(diào)用存儲(chǔ)過程的普通登錄
USE master;
GO
-- 3.a 登錄
CREATE LOGIN test
WITH PASSWORD = N'abc.123',
CHECK_POLICY = OFF;
GO
-- 3.b 數(shù)據(jù)庫用戶
USE tempdb;
GO
CREATE USER test
FOR LOGIN test;
GO
-- 3.c 執(zhí)行存儲(chǔ)過程的權(quán)限
GRANT EXECUTE ON dbo.p
TO test;
GO
-- 3.d 執(zhí)行測(cè)試
EXECUTE AS LOGIN = N'test';
GO
EXEC dbo.p;
GO
REVERT;
GO
-- 4. 刪除測(cè)試
DROP PROC dbo.p;
DROP USER test;
DROP USER OA_login;
USE master;
DROP LOGIN test;
DROP USER OA_login;
DROP LOGIN OA_login;
補(bǔ)充說明
多數(shù)情況下，數(shù)據(jù)庫的所有者是sa一類的sysadmin固定服務(wù)器角色的成員，所以在這種情況下，也可以直接指定使用數(shù)據(jù)庫所有者作為存儲(chǔ)過程執(zhí)行的安全上下文。
USE tempdb;
GO
-- 2.b 測(cè)試存儲(chǔ)過程
CREATE PROC dbo.p
WITH EXECUTE AS N'dbo' -- 指定存儲(chǔ)過程的執(zhí)行時(shí)的上下文
AS
DECLARE @object int;
DECLARE @hr int;
DECLARE @src varchar(255), @desc varchar(255);
EXEC @hr = sp_OACreate 'ADODB.RecordSet', @object OUT;
IF @hr <> 0
GOTO lb_Err;
EXEC @hr = sp_OAMethod @object, 'Open', NULL, 'SELECT ServerName = @@SERVERNAME', N'Provider=SQLOLEDB.1;Integrated Security=SSPI';
IF @hr <> 0
GOTO lb_Err;
EXEC @hr = sp_OAMethod @object, 'GetRows';
IF @hr <> 0
GOTO lb_Err;
EXEC @hr = sp_OADestroy @object;
RETURN;
lb_Err:
BEGIN
EXEC sp_OAGetErrorInfo @object, @src OUT, @desc OUT ;
RAISERROR('Error Creating COM Component 0x%x, %s, %s',16,1, @hr, @src, @desc);
END;
GO
-- 3. 調(diào)用存儲(chǔ)過程的普通登錄
USE master;
GO
-- 3.a 登錄
CREATE LOGIN test
WITH PASSWORD = N'abc.123',
CHECK_POLICY = OFF;
GO
-- 3.b 數(shù)據(jù)庫用戶
USE tempdb;
GO
CREATE USER test
FOR LOGIN test;
GO
-- 3.c 執(zhí)行存儲(chǔ)過程的權(quán)限
GRANT EXECUTE ON dbo.p
TO test;
GO
-- 3.d 執(zhí)行測(cè)試
EXECUTE AS LOGIN = N'test';
GO
EXEC dbo.p;
GO
REVERT;
GO
-- 4. 刪除測(cè)試
DROP PROC dbo.p;
DROP USER test;
USE master;
DROP LOGIN test;
最后說明一點(diǎn)，要使用sp_OACreate這一系列存儲(chǔ)過程，得將服務(wù)器的“Ole Automation Procedures”選項(xiàng)打開，參考如下的代碼。
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'Ole Automation Procedures', 1;
RECONFIGURE;
