實戰案例：Windows 2000 + SQL Server 2000 資料庫伺服器，長期未以管理員登入導致密碼遺失，且未加入網域無法用域管帳號介入。利用記得的 sa 密碼與 xp_cmdshell 擴展預存程序，透過 osql.exe 命令列客戶端執行系統指令，建立臨時管理員帳號登入並重置原密碼。

前置條件

• SQL Server 服務正在運行。
• 知道 sa (系統管理員) 密碼，且 sa 具備 sysadmin 固定伺服器角色 (預設即有)。
• xp_cmdshell 未被移除/停用 (SP3 後預設停用，需確認)。
• 可取得 osql.exe (Office 2000/ SQL Server 客戶端工具/ SQL Server Feature Pack 均含)。

操作步驟

1. 開啟命令提示字元，切換至 osql.exe 目錄。
2. 建立臨時帳號並加入 Administrators 群組：

   osql -S 192.168.0.88 -U sa -P "sa_password" -Q "xp_cmdshell 'net user temp_admin P@ssw0rd /add'"
   osql -S 192.168.0.88 -U sa -P "sa_password" -Q "xp_cmdshell 'net localgroup administrators temp_admin /add'"
   

3. 以 temp_admin / P@ssw0rd 登入系統 (本地或遠端桌面)。
4. 開啟「電腦管理」→「本地使用者和群組」→ 重設 Administrator 密碼。
5. 清理痕跡：刪除 temp_admin 帳號，審核事件日誌記錄操作軌跡。

原理說明

xp_cmdshell 在 SQL Server 進程上下文 (通常為 LocalSystem 或指定服務帳號) 執行命令殼層，擁有極高權限，可執行任何 cmd.exe 支援的指令。此特性雙面性極強：

• 管理利器： DBA 可無需 RDP 遠端執行維護腳本、備份/還原、服務控制。
• 高危攻擊面： sa 帳號一旦外洩，攻擊者即獲系統級控制權。

安全強化建議

1. 嚴守 sa 密碼： 複雜度高、定期輪換、嚴禁硬編碼於應用程式/設定檔。
2. 最小權限原則： 應用程式使用專用低權限 SQL 登入，禁用 sa 遠端登入 (sp_configure 'remote access', 0)。
3. 停用/移除 xp_cmdshell： EXEC sp_dropextendedproc 'xp_cmdshell' (SQL 2000) 或 Surface Area Configuration 介面停用 (SQL 2005+)。確有需求時臨時啟用、用畢即停。
4. 啟用稽核： 審核 xp_cmdshell 執行事件 (SQL Profiler / Extended Events / 登入稽核)。
5. 密碼管理制度： 採用密碼管理器 (KeePass, Bitwarden, 1Password) 存儲共享帳號密碼，避免遺失導致被迫使用高風險繞過手段。

結語： 此法屬「破窗急救」，非常規運維手段。根本解決在於建立完善的帳號密碼生命週期管理與最小權限原則落地，將「必須用後門進系統」的情境消滅於萌芽狀態。