Защита MS SQL от примитивных взломов

[yudjin]

День добрый. Подскажите, где можно почитать о базовой защите БД MS SQL, и вообще, зачем ее защищать от внешнего злоумышленника (БД использует вэб-сайт)? Ведь защита уже реализована в самом IIS, через все эти домены/учетные записи. Как хранимки могут помочь в защите? Ведь з/у не может приконектиться к БД... В общем, сплошная дыра в этом вопросе.

ЗЫ: сайт писан на ASP.net, хостится на сервере, обслуживаемом хорошими работниками. Они же дыры-то позакрывали прямые...

[Sla]

select * from table where password = 'password' or 1=1

Надо защищаться?

[yudjin]

Скажем так - только эту SQL Injection и знаю.
Почитал о взломах в общем - так уже вроде бы все и за тебя защищено, осталось только уберегтись от иньекций. Но если перевести работу с БД на хранимки, то иньекции отпадают. И все? Тогда почему все кричат о "взломах" их бесценных сайтов..

[baldr]

yudjin, можно ограничить коннекты к базе только теми хостами, которые реально необходимы (вообще, в идеале, только localhost).

[Kivals]

yudjin, скажем так: приведнный пример SQL injection самый распространенный и наглядный, а вообще когда видят текст запроса - то в зависимосит от него и начинается придумывание таких взломов. Потому рекомендации следующие:
чем проще запросы - тем сложнее придумать подобный взлом
закрыть все сообщения об ошибках на работающем сайте, чтобы при каком-то сбое пользователю не показывало код для отладки

Хранимые процедуры по идее должны закрыть многие из подобных проблем, но мало кто применяет их для рабочих проектов по разным причинам (от необрзованности - до совместимости)