SQLServer安全防护：照着做就能挡住90%常见攻击

前阵子帮一个做电商的朋友擦屁股，他十来个人的小公司，用SQLServer存了三万多客户信息，搭完数据库就没管过，密码还是默认的sa123456。半个月前被黑客扫到，直接删库要五千解密费，最后客户信息全没，赔了两万多给客户，店铺差点关了。

很多做开发、开小公司的朋友都觉得，安全防护是大公司才要操心的事，我一个小库没人盯。其实根本不是这么回事，网上扫漏洞的机器人24小时不停转，只要你有漏洞，不出一周就能被找到。今天这篇说的都是现成操作，半小时就能做完，你看完就能直接照着做。

1. 先改默认账号密码，堵上最容易进的后门

绝大多数被攻破的SQLServer，都是输在这最基础的一步。

（1）别用弱密码，凑也要凑够长度复杂度

别再用 ``` sa123456 ``` 或者公司名加年份这种密码了。

说白了这就是给黑客递钥匙，分分钟就能被猜到。

正确做法：密码至少12位，混合大小写、数字和特殊符号。

举个例子，你可以用： ``` myShop2024sql ``` 猜十年都猜不对。

避坑提醒：别把密码明文写在项目根目录的txt文件，一被爬就全漏。

（2）默认账号sa要改名，挡住八成扫号攻击

黑客扫数据库，第一个找的就是默认账号sa。

你只要改个没人能猜到的名，就能直接挡住大部分扫号机器人。

操作也超简单：打开数据库，进「安全性」-「登录名」，找到sa右键重命名就行。

比如改成shop_data_admin，整个过程5分钟搞定。

2. 别把数据库直接露在公网，关了没用的口子

很多人为了自己远程改数据，直接把SQLServer挂在公网上，这太危险了。

（1）能不开公网访问，就一定别开

你要远程连数据库，完全可以开个公司内网VPN。

先连VPN进内网，再访问数据库，相当于多锁了一层门。

外人根本找不到你数据库的地址，哪怕密码出问题也进不来。

（2）非要开公网，一定要限制访问IP

说白了，SQLServer默认的1433端口，就是对外的大门。

你只给你常用的几个IP开门，其他全锁死就行。

举个例子，你公司只有三个固定对外IP，就在服务器防火墙的入站规则里，只允许这三个IP连1433端口，其他全部拒绝。

这个操作10分钟就能做完，做完哪怕密码漏了，别人也连不上。

避坑提醒：千万别开0.0.0.0允许所有IP访问，这等于不锁家门。

3. 开自动备份，真出事了也能兜底

防护做的再好，也怕万一，备份就是你最后的救命兜底牌。

（1）开自动备份，别靠手动记

SQLServer自带自动备份的功能，你只要设置好就不用管了。

设置成每天凌晨自动备份一次，备份文件一定要存在不同的地方。

别把备份和数据库放在同一个服务器同一个盘里，不然服务器被攻了，备份也没了。

你可以存到公司另一台内网服务器，或者存到云对象存储里，很方便。

（2）每个月验一次备份，别等出事才发现用不了

我见过太多人说，我备份了啊，结果真要恢复了，发现备份文件坏了，等于白存。

你每个月抽5分钟，找个测试环境恢复一次，确认备份能用就行。

花不了多少时间，关键时候能救你整个项目甚至整个公司。

这三个操作加起来，花不了你半个小时，都是一劳永逸的活。

别觉得你是小公司小网站，没人会盯着你的数据库。现在网上扫端口的机器人，不分大小挨个扫，只要你有漏洞就会被盯上。

真出了删库、丢客户数据的事，花几万块都不一定能救回来。你现在就打开你的SQLServer，先改密码改账号名，再调防火墙规则，最后开自动备份，做完就能踏实睡安稳觉了。