如何确定是主机的哪些服务发起了登陆sqlserver数据库

Question

最近公司内有台主机192.168.19.25（联网，做了内网穿透的前置机），一直在尝试登陆服务器的sqlserver数据库，前几天有更换主服务器的监听端口1433。我想问下现在是什么情况？能通过什么渠道解决这个现象？希望大家给些意见和建议

Answer 1

该回答结合ChatGPT4o及杨同学*共同作答, 如有帮助，还请采纳。
你的问题涉及到从特定IP地址的主机尝试登录SQL Server数据库，但登录失败。以下是一些解决方法和调试步骤，可以帮助你确定问题的来源，并阻止未经授权的访问。

分析当前情况

1. 登录失败日志：

   • 日志中显示 Login failed for user 'sa'，说明有未经授权的尝试。
   • 错误代码 18456 和 状态：14 表示用户名和密码不匹配。

2. 常见原因：

   • 可能是某个应用程序或者服务在尝试使用错误的凭证登录。
   • 可能是恶意攻击，试图通过暴力破解方式获取访问权限。

确定主机上的服务或应用

要确定具体的服务或应用发起了这些登录尝试，可以采取以下步骤：

1. 网络监控

使用网络监控工具（如Wireshark或NetMon）监控从该主机发出的流量，特别是尝试连接到SQL Server的流量。

• 通过捕获从192.168.19.25到SQL Server的流量，可以分析具体的请求并确定发起请求的进程。

2. Windows事件查看器

在192.168.19.25主机上查看Windows事件日志，检查是否有任何应用程序日志或者系统日志中记录了尝试访问SQL Server的信息。

• 具体路径：事件查看器 > Windows 日志 > 应用程序 和 系统

3. PowerShell脚本

使用PowerShell脚本扫描主机上的运行进程以及它们的网络连接，找出哪些进程正在尝试连接到SQL Server。

Get-Process | ForEach-Object {
    $p = $_
    Get-NetTCPConnection -OwningProcess $p.Id | Where-Object { $_.RemotePort -eq 1433 } | Select-Object -Property @{Name='ProcessName';Expression={$p.Name}}, RemoteAddress, RemotePort
}

阻止未经授权的访问

1. 更改登录凭证：

   • 确保数据库的sa账户有一个强密码，避免使用默认密码。
   • 如果不需要sa账户，建议禁用它。

2. 防火墙规则：

   • 配置防火墙规则，限制只能从特定的IP地址范围访问SQL Server。
   • 在SQL Server和主机防火墙中添加规则，阻止不受信任的IP地址访问1433端口。

3. SQL Server配置：

   • 配置SQL Server审计，记录所有的登录尝试，并生成报警。
   • 审计可以通过SQL Server Management Studio (SSMS) 配置：安全性 > 登录审计

4. 内网穿透检查：

   • 检查内网穿透工具的配置，确保只有授权的访问可以通过内网穿透到达你的SQL Server。
   • 考虑使用VPN等安全手段来替代内网穿透工具。

总结

通过网络监控、日志分析和脚本扫描，可以帮助你识别出主机上的哪些服务在尝试访问SQL Server。加强安全配置和防火墙规则，可以有效阻止未经授权的访问。