Dangerous Function: xp_cmdshell

ABSTRACT

無法安全地使用函數 xp_cmdshell。不應該使用此函數。

EXPLANATION

某些函數不論如何使用都有危險性。函數 xp_cmdshell 會啟動 Windows 命令 shell 來執行提供的命令字符串。該命令會在默認系統中或提供的代理上下文中執行。但目前沒有一種方法可將用戶限制為只能執行一組預先指定的特權操作，為用戶授予任何權限都會允許其執行任何命令字符串。

REFERENCES

[1] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 242

[2] Standards Mapping - SANS Top 25 2011 - (SANS Top 25 2011) Risky Resource Management - CWE ID 676

[3] xp_cmdshell