Είναι η δουλειά μου να ελέγχω SQL Server instance με σκοπό να βρω προβλήματα ή σημεία που είναι εκτός των best practices που όλοι ζητάνε αλλά δεν έχουν εφαρμοστεί.

Ένα από τα πράγματα που ελέγχω είναι το security του instance. Ένας από τους πολλούς ελέγχους που διενεργώ είναι να βρω τα SQL Logins που έχουν blank password και που έχω γράψει για αυτό πριν από χρόνια στο post αυτό.

Τα τελευταία χρόνια έχω προσθέσει πολλά πράγματα ακόμα καθώς οι απαιτήσεις μεγαλώνουν συνέχεια και ένα από αυτά είναι να ελέγχω αν τα SQL Logins έχουν σαν password κάτι κοινό (common όπως λενε στα ελληνικά :) ).

Στο internet θα βρείτε πολλές τέτοιες λίστες τις οποίες και μπορείτε να χρησιμοποιήσετε.

Προσωπικά έχω φτιάξει μια με τα περισσότερο συνηθισμένα την οποία και έχω στο github και μπορείτε ελεύθερα να χρησιμοποιήσετε αλλά και αν θέλετε να εμπλουτίσετε ώστε να γίνει καλύτερη.

Το πως μπορείτε να χρησιμοποιήσετε αυτή είναι εύκολο αρκεί να ακολουθήσετε τα εξής βήματα:

• Download από το github την λίστα και βάλτε την σε ένα οποιοδήποτε folder στο SQL Server instance που θέλετε να ελέγξετε.
• Εκτελέστε το παρακάτω script αφού πρώτα αλλάξετε το path στο BULK INSERT statement

Το αποτέλεσμα ίσως σας προβληματίσει.

if object_id('tempdb..#commonpass') is not null
begin
    drop table #commonpass;
end;
create table #commonpass (pass nvarchar(64));
BULK INSERT #commonpass FROM 'W:\TEMP\CommonPasswords.txt';
with pass_check_result as
(
    select 
            name 
        ,   is_disabled
        ,    pass
        ,    case PWDCOMPARE(pass,password_hash)
            when 0 then 'N'
            when 1 then 'Y'
            end as has_common_password
    from sys.sql_logins
    cross join #commonpass
)
select distinct name,is_disabled,pass
from pass_check_result
where has_common_password='Y';

//antonch