获取xp_cmdshell的执行权限

Question

尝试从存储过程中执行 xp_cmdshell 时，我看到一条错误消息。

xp_cmdshell 在实例上已启用。并且执行权限已授予给我的用户，但我仍然看到异常。

对象“xp_cmdshell”、数据库“mssqlsystemresource”、架构“sys”的 EXECUTE 权限被拒绝

部分问题是这是一个共享集群，并且我们在实例上有一个数据库，因此我们没有全方位的管理权限。所以我无法进入并授予权限，等等。

Answer 1

对于不是 SQL Server 实例上 sysadmin 角色成员的用户，您需要执行以下操作来授予对 xp_cmdshell 扩展存储过程的访问权限。此外，如果您忘记了其中一个步骤，我已经列出了将引发的错误。

1. 启用 xp_cmdshell 过程

   <块引用>

   消息 15281，级别 16，状态 1，过程 xp_cmdshell，第 1 行
   SQL Server 阻止了对组件“xp_cmdshell”的过程“sys.xp_cmdshell”的访问，因为该组件作为该服务器安全配置的一部分被关闭。系统管理员可以使用 sp_configure 启用“xp_cmdshell”。有关启用“xp_cmdshell”的详细信息，请参阅 SQL Server 联机丛书中的“外围区域配置”。*

2. 为对 master 数据库具有公共访问权限的非 sysadmin 用户创建登录名< /p>
   <块引用>

   消息 229，级别 14，状态 5，过程 xp_cmdshell，第 1 行
   对对象“xp_cmdshell”、数据库“mssqlsystemresource”、架构“sys”的 EXECUTE 权限被拒绝。*

3. 授予对 xp_cmdshell 存储过程的 EXEC 权限

   <块引用>

   消息 229，级别 14，状态 5，过程 xp_cmdshell，第 1 行
   对对象“xp_cmdshell”、数据库“mssqlsystemresource”、架构“sys”的 EXECUTE 权限被拒绝。*

4. 使用 sp_xp_cmdshell_proxy_account 创建将在其下运行 xp_cmdshell 的代理帐户

   <块引用>

   消息 15153，级别 16，状态 1，过程 xp_cmdshell，第 1 行
   xp_cmdshell代理帐户信息无法检索或无效。验证“##xp_cmdshell_proxy_account##”凭据是否存在并包含有效信息。*

从您的错误来看，似乎错过了步骤 2 或 3。我不熟悉集群，不知道该设置是否有什么特殊之处。

Answer 2

我想完成 tchester 的回答。

(1) 启用 xp_cmdshell 过程：

-- To allow advanced options to be changed.
EXEC sp_configure 'show advanced options', 1
RECONFIGURE
GO

-- Enable the xp_cmdshell procedure
EXEC sp_configure 'xp_cmdshell', 1
RECONFIGURE
GO

(2) 为具有 master 数据库公共访问权限的非 sysadmin 用户创建登录名“Domain\TestUser”（windows 用户）

(3) 授予 xp_cmdshell 存储过程的 EXEC 权限

GRANT EXECUTE ON xp_cmdshell TO [Domain\TestUser]

：( 4) 使用 sp_xp_cmdshell_proxy_account 创建将在其下运行 xp_cmdshell 的代理帐户

EXEC sp_xp_cmdshell_proxy_account 'Domain\TestUser', 'pwd'
-- Note: pwd means windows password for [Domain\TestUser] account id on the box.
--       Don't include square brackets around Domain\TestUser.

(5) 向用户授予控制服务器权限

USE master;
GRANT CONTROL SERVER TO [Domain\TestUser]
GO

Answer 3

扩展通过 SQL Server 代理自动将数据以 csv 格式导出到网络共享的功能。

(1) 启用 xp_cmdshell 过程：

-- To allow advanced options to be changed.
EXEC sp_configure 'show advanced options', 1
RECONFIGURE
GO

-- Enable the xp_cmdshell procedure
EXEC sp_configure 'xp_cmdshell', 1
RECONFIGURE
GO

(2) 为对 master 数据库具有公共访问权限的非 sysadmin 用户创建登录名“Domain\TestUser”（Windows 用户）。通过用户映射完成

(3) 将登录作为批处理作业：导航到本地安全策略 ->当地政策 ->用户权利分配。将用户添加到“作为批处理作业登录”

(4) 授予域\用户对网络文件夹的读/写权限

(5) 授予对 xp_cmdshell 存储过程的 EXEC 权限：

GRANT EXECUTE ON xp_cmdshell TO [Domain\TestUser]

(6) 创建将运行 xp_cmdshell 的代理帐户 (7) 如果sp_xp_cmdshell_proxy_account

EXEC sp_xp_cmdshell_proxy_account 'Domain\TestUser', 'password_for_domain_user'

命令不起作用，请手动创建它

create credential ##xp_cmdshell_proxy_account## with identity = 'Domain\DomainUser', secret = 'password'

(8) 启用 SQL Server 代理。打开 SQL Server 配置管理器，导航到 SQL Server 服务，启用 SQL Server 代理。

(9)创建自动化作业。打开SSMS，选择SQL Server代理，然后右键单击作业并单击“新建作业”。

(10) 选择“所有者”作为您创建的用户。选择“步骤”，使“类型”= T-SQL。填写类似于下面的命令字段。将分隔符设置为“,”

EXEC master..xp_cmdshell 'SQLCMD -q "select * from master" -o file.csv -s "," 

(11) 相应地填写明细表。

Answer 4

切斯特说：

(2) 为具有 master 数据库公共访问权限的非 sysadmin 用户创建登录名

我转到用户的数据库列表（服务器/安全/连接/我的用户名/属性/用户映射，并想要选中该框我收到一条错误消息，表明该用户已存在于 master 数据库中，删除该用户，返回“用户映射”并选中下面的“公共”框。

之后，您需要在 xp_cmdshell 上重新向“我的用户名”发出 grantexecute

Answer 5

现在是时候做出贡献了。我是系统管理员角色，致力于让两个公共访问用户执行 xp_cmdshell。我可以执行 xp_cmdshell，但不能执行两个用户。

我执行了以下步骤：

1. 创建新角色：

   使用大师
   创建角色 [CmdShell_Executor] 授权 [dbo]
   GRANT EXEC ON xp_cmdshell TO [CmdShell_Executor]

2. 在 master 数据库中添加用户：安全 -->用户。成员资格仅检查刚刚创建的[CmdShell_Executor]

3. 设置代理帐户：

   EXEC sp_xp_cmdshell_proxy_account 'domain\user1','user1 Windows 密码'
   EXEC sp_xp_cmdshell_proxy_account 'domain\user2','users2 Windows 密码'

然后两个用户都可以执行包含调用 R 脚本运行的 xp_cmdshell 的存储过程。我让用户来到我的电脑上输入密码，执行一行代码，然后删除密码。

Answer 6

不要将控制权授予用户，这是完全没有必要的。
对数据库的选择权限就足够了。
在 master 上创建登录名和用户后（参见上面的答案）：

use YourDatabase
go
create user [YourDomain\YourUser] for login [YourDomain\YourUser] with default_schema=[dbo]
go
alter role [db_datareader] add member [YourDomain\YourUser]
go