解决SQL Server 2000无法装载DLL及SA密码被篡改问题

故障现象与分析

在操作SQL Server 2000数据库（特别是配合用友U890等ERP软件）时，常出现以下报错：

• 系统级报错：“无法装载 DLL Microsoft提示您请误随意操作SQL数据库... 原因: 126(找不到指定的模块。)。”
• 应用级报错：U890账套引入失败，提示类似上述DLL加载错误。

根本原因：此类问题多由SA账户（sa）使用弱口令引起，黑客或病毒软件通过获得系统权限后，恶意修改了SQL Server的系统存储过程（如xp_cmdshell），使其指向不存在或被替换的文件，进而触发126错误并可能进一步破坏数据库完整性。

修复前重要提醒

1. 版本限制：以下脚本仅适用于 SQL Server 2000。其他版本（如2005及以上）机制不同，请勿直接套用。
2. 风险警示：执行修改系统存储过程的操作具有高风险。在执行前，请务必对当前数据库进行完整备份，以防操作失误导致数据库彻底损坏。
3. 权限要求：需要使用系统管理员身份（通常是sa用户）登录SQL Server查询分析器。

第1步：检查关键系统存储过程是否被篡改

我们需要验证核心扩展存储过程是否仍然指向正确的动态链接库（DLL）。病毒通常会移除原有映射或指向恶意文件。

入口：SQL Server 查询分析器（Query Analyzer）或企业管理器的查询窗口。
目的：确认xp_cmdshell及其他高危存储过程的TEXT字段是否符合默认值。

use master
go
-- 检查xp_cmdshell是否被篡改
-- 正常情况下的text应包含'xplog70.dll'
select * from master..syscomments 
where object_name(id)='xp_cmdshell' and text <> 'xplog70.dll'

-- 检查其他存储过程是否被篡改
-- 正常的text内容应为N'xpstar.dll'
go
select object_name(id), * from master..syscomments 
where object_name(id) in (
    'xp_getfiledetails','xp_availablemedia','xp_dirtree','xp_fixeddrives', 
    'xp_subdirs','xp_fileexist','xp_get_tape_devices','sp_MSgetversion', 
    'xp_enumdsn','xp_regread','xp_regwrite','xp_regdeletevalue', 
    'xp_regaddmultistring','xp_regremovemultistring','xp_regenumkeys', 
    'xp_regenumvalues','xp_regdeletekey','xp_instance_regread', 
    'xp_instance_regwrite','xp_instance_regdeletevalue', 
    'xp_instance_regaddmultistring','xp_instance_regremovemultistring', 
    'xp_instance_regenumkeys','xp_instance_regenumvalues' 
) and text <> N'xpstar.dll'

完成判断：如果上述查询返回结果，说明对应的存储过程已被篡改，需要执行第2步进行修复。

第2步：恢复被篡改的系统存储过程

如果发现存储过程被篡改，需先删除错误的定义，然后使用sp_addextendedproc重新绑定到正确的系统DLL文件中。

入口：SQL Server 查询分析器。
参数说明：第一个参数为存储过程名称，第二个参数为DLL文件名（通常为xplog70.dll或xpstar.dll）。

-- 1. 删除被污染的存储过程定义
exec sp_dropextendedproc N'xp_cmdshell'
GO

-- 2. 重新绑定正确的dll (注意: xplog70.dll 是 xp_cmdshell 的标准组件)
exec sp_addextendedproc N'xp_cmdshell', N'xplog70.dll'
GO

-- 对于前面查出的其他被篡改存储过程（如xp_regread等），统一修复逻辑如下：
-- 将 '存储过程名称' 替换为实际报错或缺失的过程名
exec sp_dropextendedproc N'存储过程名称'
GO
exec sp_addextendedproc N'存储过程名称', N'xpstar.dll'
GO

异常排查：如果执行xp_cmdshell 'dir c:/'测试时仍报错，可能是SQL Server服务启动账户（通常为SYSTEM）没有访问C:\Windows\System32\cmd.exe或对应DLL的权限。此时需确保服务账户拥有相应的文件系统访问权限。

验证修复结果

恢复完成后，建议在查询分析器中执行以下测试语句，以确认存储过程功能恢复正常：

xp_cmdshell 'dir c:'

如果成功列出C盘根目录文件或返回正常信息，说明修复成功。此时可尝试重新进入U890等应用系统进行账套引入或相关操作。

以上就是解决SQL Server 2000无法装载DLL及SA密码被篡改问题的详细内容，更多关于SQL数据库安全防护的资料请关注本站其它相关文章！