Denis Reznik

Критическая уязвимость в SQL Server

2009-01-06T18:50:55Z

Накануне нового года Майкрософт объявила о новой уязвимости в SQL Server, которая делает возможным удалённое выполнение кода. Используя её, злоумышленник может выполнить вредоносный код, и таким образом повысить свои привилегии на сервере. Эта возможность возникает вследствие неправильной проверки входящих параметров расширенной хранимой процедуры sp_replwritetovarbin. Данная процедура является недокументированной, и толковой информации о ней, я увы не нашёл :(, известно лишь то что она используется в репликации транзакций с обновляемыми подписками, и только в том случае, когда подписка создана со значением параметра @update_mode "failover" или "queued". Подробную информацию о том, какие выпуски подвержены уязвимости, а какие нет можно получить здесь. Сразу хочу успокоить тех, кто использует SQL Server 2008, их данная проблема не коснётся :).

Теперь о том, как её могут использовать злоумышленники, и как от неё защититься. Воспользоваться ею можно вот таким способом. Возможный сценарий использования - SQL-Injection. Выполнение данного скрипта, возможно вследствие того, что данная процедура, по умолчанию, может выполняться любым пользователем, который успешно прошёл аутентификацию на сервере. На данный момент, проблема не исправлена. Специалисты Майкрософт активно занимаются её решением, и по завершении будет выпущен пакет обновления либо обновление системы безопасности (сроки выпуска обновления не известны). Нам же, сейчас предлагается обходной путь - запретить доступ к хранимой процедуре определённым пользователям. Следующий скрипт запрещает выполнение процедуры пользователям, состоящим в группе "public":

use master
deny execute on sp_replwritetovarbin to public

Также нужно иметь ввиду то, что если вы используете репликацию транзакций с обновляемыми подписками, то отключение процедуры приведёт к невозможности обновления таблиц подписки для всех пользователей.

P.S. Поздравляю всех с Рождеством! :)

Ссылки по теме:

- Microsoft Security Advisory

- Обсуждение на форуме SQL Club

- Примеры скриптов, использующих уязвимость

Обзор SQL Server Data Services

2008-10-07T01:14:00Z

SQL Server Data Services (SSDS) - это новый сервис, который готовит к запуску компания Microsoft. Он представляет собой удалённое хранилище данных, в основе которого лежат технологии SQL Server и Windows Server. Работа с сервисом осуществляется посредством API на основе протоколов SOAP и REST.

Многим из вас, наверное, знакома модель предоставления программного обеспечения как услуги (Software as a Service), когда заказчик платит не за владение программным обеспечением как таковым, а за его использование. Этот же принцип положен в основу модели DaaS (Database as a Service). В этом случае в виде сервиса предоставляется хранилище данных:

Такой подход к предоставлению сервисов некоторые считают не совсем правильным, в частности потому, что отсутствие бизнесс-логики противоречит самой идее "сервиса", а заказчики просто не желают хранить свою информацию на серверах другой компании и предоставлять управление кому-то другому. Я же скорее склоняюсь ко мнению Ноя Юханна - автора исследования аналитической компании Forrester Research -"Database-as-a-Service Explodes on the", высказанного в ходе этого исследования: "Когда сорок лет назад появились первые технологии баз данных, никто не решался использовать их в своих ответственных приложениях. Надежными тогда считались COBOL, файлы и записи на бумаге. Но со временем все изменилось. То же самое повторяется и с DaaS: такие облачные базы данных выйдут на первый план года через три-четыре, когда смогут обслуживать крупные приложения, важные для бизнеса". Сама по себе, идея предоставления такого рода сервисов достаточно нова, но уже сейчас есть примеры успешного запуска и использования подобных сервисов. Первопроходцами здесь стали, как это не удивительно, Amazon, со своими сервисами SimpleDB и Simple Storage Service. SimpleDB преставляет собой распределенное хранилище данных, и позволяет, в теории, полностью отказаться от своих баз данных, перенеся все заботы по их сопровождению на плечи Амазона. Simple Storage Service предназначен для хранения и отдачи файлов, сервис очень популярен у зарубежных стартапов. И вот, в рамках этой модели, мы вскоре увидим сервис от Microsoft - SQL Server Data Services.

Что же предлагает нам SSDS? С учётом того, что от Microsoft, мы ожидаем как всегда многого :) ? К счастью, обещают нам тоже достаточно много:

Высокая доступность
- доступ по требованию
  - сохранение и получение данных в любом месте и в любое время
  - плата только за потребляемые ресурсы
- расширяемость хранилища, по мере роста БД
  - использование хранилища, практически не имеющего ограничения на обьём данных (хранимые данные будут секционированы по 10 Гб, для облегчения репликации и баллансировки нагрузки)
  - использование единого интерфейса для хранилища данных любого масштаба
- лёгкость управления
  - простой сервис для подготовки к работе, развёртыванию и мониторингу (насколько я понял он ещё не открыт)
  - автоматическое обслуживание БД
Готовое решение для бизнеса
- надёжная платформа
  - SSDS построены на использовании технологий SQL Server и Windows server (в качестве БД используется SQL Server 2005, SP2. В будущем планируется использование SQL Server 2008)
  - многолетний опыт по использовании этих продуктов во внутренних решениях
  - новаторская распределённая структура для операций большого масштаба
- Высокая доступность, безопасность и производительность
  - Хранение и управление несколькими копиями данных для более высокой надёжности
  - Резервные копии данных, хранимых в каждом кластере (для высокой отказоустойчивости, компьютеры объединены в кластер)
  - Географически разделённые копии данных, для гарантии непрерывности работы и баллансировки нагрузки (пока что центры, в которых будут храниться данные находятся только в Северной Америке, но в будущем планируются датацентры в Европе и Азии)
  - Безопасность доступа к данным, для сохранения конфиденциальности
  - Ввод/Вывод оптимизирован для более высокой пропускной способности
Гибкость приложения
- интерфейс соответствующий стандартам
  - поддерживает взаимодействие по протоколам REST и SOAP
  - формат связи с БД - XML
  - богатая клиентская библиотека на C# или VB, обеспечивающая работу LINQ запросов
  - обеспечение безопасности конечных точек с помощью SSL
- гибкая модель данных, для ускорения разработки приложения (разрабочики уверяют, что их модель разрабатывалась независимо, не использует EDM / EF и не имеет ничего общего с моделью проекта "Astoria")
  - гибкая модель сущностей - сущности не соответствуют конкретной схеме. С лёгкостью можно добавлять новые аттрибуты к вашим наборам данных, когда это нужно
  - гибкие свойства - поддерживаются все элементарные типы: строковые, числовые, временные и булевые
- Простая модель запросов
  - использование LINQ-based языка запросов
  - язык запросов будет поддерживать полнотекстовый поиск и разбиение на страницы в запросе

И в заключение, хотелось бы сказать, что сейчас SSDS находится на стадии бета-тестирования, и больше о самом сервисе и его перспективах мы узнаем на предстоящей конференции PDC 2008, где SSDS будет посвящено 6 докладов. Возможно именно там станет известна дата релиза.

Ссылки по теме:

Домашняя страничка SSDS

Вопросы и ответы

Страничка SSDS на MSDN

Блог команды разработчиков SSDS

Разработка надежных и масштабируемых приложений с помощью SSDS (MSDN Magazine)

Анализ перехода на "облачные" БД

Notification Services умер?

2008-08-31T21:07:00Z

Да, это так. Службы Notification Services не включёны в состав SQL Server 2008. Я не раз устанавливал различные CTP SQL Server 2008, но не особо обращал внимания на отсутствие NS, т.к. моё знакомство с ним заканчивалось на изучении теории. Но, всё же, я рассматривал NS как систему, позволяющую создавать мощные, масштабируемые решения, использующие механизм уведомлений, Многие компании, использующие NS в в своих проектах, основывали свой выбор на том, что это продукт Microsoft, а не сторонний компонент. Поэтому, признаться честно, я был несколько удивлён, тому что в 2008-м не будет NS. Так что же случилось с NS?

На самом деле судьба NS было предрешена ещё в июле 2007, когда в тогдашнем CTP появилась такая информация: "SQL Server Notification Services will not be included as a component of SQL Server 2008, but will continue to be supported as part of the SQL Server 2005 product support life-cycle. Moving forward, support for key notification scenarios will be incorporated into SQL Server Reporting Services. Existing Reporting Services functionality, such as data driven subscriptions, addresses some of the notification requirements. Features to support additional notification scenarios may be expected in future releases.".

На одном из форумов MSDN, Joe Webb приводит следующие рекомендации по переходу на SQL Server 2008, с учётов того что NS в нём уже не будет:

Обновить экземпляры SQL Server на которых не установлены службы NS, и по возможности задержать обновление экземпляров с NS.

Рассмотреть возможность замены NS доморощенной системой уведомлений (или её созданием) или временного простоя функциональности, завязанной на NS. После этого можно обновлять экземпляр с NS.

Если вам всё же нужно создать приложение с системой уведомлений, и время создания критично, то NS остаётся вполне приемлимым решением.

То что NS убрали из состава SQL Server 2008, событие неприятное, но в этом нет ничего удивительного, так какие-то продукты устаревают, или же они не используются в той степени, что ожидалось, но на их месте всегда появляется что-то новое, более совершенное. Что же нам предлагает Microsoft взамен NS? К сожалению, полной альтернативы сейчас не существует. Как альтернативу, можно попробовать использовать Office Communications Server, либо существующие возможности уведомления служб Reporting Services, которые на данный момент не являются таким мощным инструментом как NS. Тем не менее, если вы не спешите переходить на SQL Server 2008, то вы можете продолжать использовать службы NS, они будут поддерживаться наряду с другими службами SQL Server 2005 до 12 апреля 2011 года.

Как видите, хоть NS и уходит на покой, но всё же оставляет после себя небольшое наследие. Я имею ввиду существующие возможности служб Reporting Services, например управляемые данными подписки, которые, вероятно, будут расширяться, и в будущем мы получим более расширенный фукционал уведомлений, но уже не как отдельный компонент SQL Server, а как составную часть Reporting Services

Ссылки по теме:

Анонс замены некоторых возможностей NS в RS

Жизненный цикл SQL Server 2005

Блог Aaron Bertrand (с развёрнутой дискуссией по поводу присутствия NS в SQL Server 2008)

Форум TechNet

Форум MSDN

Форум MSDN с рекомендацией по переходу на SQL Server 2008

Что нового в SSMS 2008?

2008-08-24T22:10:00Z

SQL Server Management Studio появилась вместе с SQL Server 2005, и стала незаменимым инструментом по управлению базами данных SQL Server. Всё же, некоторым функциям инструментов 2000-го не нашлось места в новой студии что вызвало множество нареканий. Но с выходом нового продукта всегда ожидаешь чего-то нового, лучшего. Изменилось ли что-то в SSMS с выходом SQL Server 2008? Да, изменилось! Была улучшена скорость взаимодействия SSMS с SQL Server Engine, незаслуженно забытые возможности 2000-го, такие как T-SQL Debugger, Object Search вернулись в студию, был добавлен долгожданный IntelliSence, появился ряд новых возможностей. В этой статье я постараюсь рассказать о новых, наиболее интересных, на мой взгляд, возможностях новой студии.

Начнём с закладки Object Explorer Details. В 2005-й студии эта закладка называлась "Summary", и наверное многие из вас её закрывали за ненадобностью, так как она была только отображением дерева Object Explorer в виде списка. В SSMS 2008 эта закладка стала намого интереснее, теперь она может отображать множество данных, за которыми раньше приходилось лезть в свойства обьекта.

Набор столбцов отображемых данных можно изменять, для этого нужно кликнуть правой кнопкой по заголовку любого столбца и выбрать интересующие вас данные.

Эти настройки сохраняются после перезапуска студии. При выборе элемента в дереве объектов внизу закладки Object Explorer Details можно увидеть кол-во вложенных объектов.

Ещё одной приятной особенностью закладки Object Explorer Details является то что мы можем скопировать информацию прямо с неё (Ctrl-C), и вставить уже сформированную таблицу в MS Word, MS Exel, Notepad или другой текстовый редактор. Эта особенность также относится и к строкам таблиц БД.

В верхней части закладки Object Explorer Details появиловсь текстовое поле поиска, позволяющее производить поиск по объектам базы данных. Нужно учитывать что поиск будет производиться относительно объекта, выбранного в дереве Object Explorer, т.е. если вы выберете в дереве БД AdwentureWorks, то поиск будет произведён только по её объектам.

Очередным маленьким улучшеним является работа с планом выполнения запроса. 2005-я студия позволяла сохранять план выполнения в файл (*.sqlplan), что позволяло передавать его для дальнейшего анализа, но открыв его потом, мы могли увидеть только красивую картинку плана. В 2008-й появляется возможность открыть запрос из студии и кликнув на нём правой кнопкой увидеть сам SQL-запрос.

Следующее улучшение касается людей, работающих с несколькими серверами. Как пример можно взять ситуацию, когда разработчику приходится выполнять скрипты на нескольких серверах: рабочем сервере, сервере тестирования и сервере заказчика, где заказчик всегда ожидает увидеть рабочую версию . Поэтому цена неверно применённого скрипта довольно велика. Здесь нам немного может помочь новая возможность студии. При соединении с сервером, на закладке "Connection settings" можно выбрать цвет текущего сервера.

Это значит, что теперь при открытии закладки нового запроса, статус бар, внизу, станет выбранного вами цвета. Конечно это не защищает от ошибки на 100%, но всё же привлекает внимание и позволяет вовремя спохватиться .

И наконец, последняя, рассматриваемая, возможность, тоже касается работы с несколькими серверами. В студию добавлена поддержка выполнения запросов к нескольким серверам, причём делается это довольно просто. Для этого мы создаём группу в окне Registered Servers.

по правому клику на группе открываем окно запроса, где пишем запрос, который выполнится сразу на всех серверах группы. Вы можете создавать различные группы серверов, причём один сервер может входить в разные группы. Запросы можно производить и на предыдущие версии SQL Server. Настроить формат вывода мультисерверного запроса можно в опциях студии (Tools -> Options -> QueryResults -> SQL Server -> Multiserver Results).

Как видите, с первого взгляда, никак не изменившаяся 2008-я студия, всё же преобразилась. В ней появился ряд улучшений, которые делают нашу работу с SQL Server немного приятнее .

Список ссылок по теме:

SSMS на MSDN

Забытые возможности Query Analyzer

Блог Brad McGehee - описание ряда новых возможностей SSMS

Улучшения при работе с планом выполнения

Блог Buck Woody - описание ряда новых возможностей SSMS

Блог Joni Moilanen - цвета для серверов