前言

許多 DBA 以為防火牆、Windows 驗證、強制密碼策略就能高枕無憂，實則不然。本文揭露六大常見錯誤認知，並說明實際滲透測試手法，助你建立真正有效的防禦體系。

迷思一：密碼測試無需計畫，直接開跑

風險： 直接對線上系統進行暴力破解測試，極易觸發帳號鎖定策略，導致業務應用程式無法連線、使用者無法登入，造成服務中斷。

正確做法：

• 取得書面授權與測試範圍界定。
• 準備回滾方案：帳號解鎖腳本、服務重啟流程。
• 優先在非生產環境 (Staging/UAT) 驗證工具參數與影響範圍。

迷思二：內網交換機環境下密碼傳輸是安全的

實測工具： OmniPeek、Wireshark (Ethereal) 可解析 TDS 協定封包攔截 SQL 驗證密碼；Cain & Abel 專精 TDS 密碼破解。

交換機 ≠ 安全： Cain 的 ARP Poisoning (ARP 欺騙) 功能可在 1 分鐘內劫持區域網路流量，繞過交換機隔離，讓嗅探工具捕獲所有封包。

Windows 驗證也會洩漏： NTLM/Kerberos 雜湊同樣可被攔截離線破解 (工具同上)，取得域帳號權限即等同控制 SQL Server。

迷思三：有密碼策略就不需測試密碼強度

繞過手段：

• 未納管的獨立伺服器 / 工作群組電腦不受域策略約束。
• 未知的 SQL Server 執行個體 (Shadow IT)。
• 專用破解工具 (NGSSQLCrack, SQLat, SQLninja) 針對 SHA 雜湊進行 GPU 加速暴力破解/彩虹表攻擊。

驗證原則： 「信任但驗證」。即使策略要求 12 碼複雜度，仍需定期自行抽樣破解驗證 (如使用 Hashcat 基準測試)，確認無盲點。

迷思四：SQL Server 密碼不可逆推，破解無意義

事實： SQL Server 7.0/2000 使用專屬雜湊演算法 (非標準 SHA)，但工具 (Cain, NGSSQLCrack) 已實作反向工程演算法，可對雜湊進行離線字典/暴力攻擊。雖成功率視密碼複雜度而定，但證明「不可逆」是錯覺。

迷思五：MBSA 掃描無問題即代表密碼安全

MBSA 盲點： 僅檢查空密碼、已知弱密碼字典，無法 執行深度離線雜湊破解。

補充工具鏈：

• SQL 密碼深度掃描：SQLat、SQLninja (含於 SQLPing 3)。
• Windows 密碼破解：ElcomSoft Proactive Password Auditor、Ophcrack (LiveCD 可離線攻擊實體機/筆電 SAM 檔)。

迷思六：只需關注主資料庫伺服器

盲點： 網路中常存在 MSDE、SQL Server Express、開發人員私裝的 Developer Edition，預設 SA 空密碼、預設埠開放、無修補程式。

發現手段： 使用 SQLPing 3 掃描全網段 (UDP 1434) 列舉所有 SQL 實例，包含隱藏執行個體。

建議防禦清單

1. 全網段 SQL 實例資產盤點 (SQLPing/Nmap)。
2. 所有實例強制啟用 Windows 驗證、停用 SA 或設極長隨機密碼並封存。
3. 網路層隔離：資料庫段僅允許應用伺服器 IP 存取 TCP 1433。
4. 啟用透明資料加密 (TDE, 2008+) / 儲存加密 (EFS/第三方)。
5. 定期 (季度) 排程自動化密碼強度掃描 (Hashcat + 客製字典)。
6. 建立密碼洩漏應變 SOP：偵測 → 隔離 → 重置 → 審計追蹤。