如何配置SQL Server：禁止xp_cmdshell读特定文件但允许Python函数读取

问题描述 #

需求：禁止SQL Server通过xp_cmdshell读取特定文件（如c:\inetpub\wwwroot\web.config），但允许通过SQL Server中的Python函数读取该文件。

已尝试步骤 #

• 修改配置限制xp_cmdshell的文件访问权限，但同时影响了Python函数；
• 调整文件访问权限，但导致xp_cmdshell和Python函数均能读取该文件；
• 通过sp_execute_external_script调用Python读取文件时，出现“Access is denied.”错误。

当前执行示例 #

执行xp_cmdshell命令 #

1> xp_cmdshell 'type c:\inetpub\wwwroot\web.config';
2> go

输出：

output                                                                                                                                                                                                                                    
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Access is denied.                                                                                                                                                                                                                          
NULL                                                                                                                                                                                                                                       

(2 rows affected)

执行Python脚本 #

1> EXEC sp_execute_external_script
2> @language =N'Python',
3> @script= N'import os; os.system("type c:\inetpub\wwwroot\web.config")'
4> go

输出：

STDERR message(s) from external script:
Access is denied.

解决方案：权限区分与配置步骤 #

核心逻辑：xp_cmdshell和Python外部脚本的运行安全上下文完全独立，可通过分别配置两类账户的文件权限实现需求。

1. 明确两类执行的安全账户 #

• xp_cmdshell：默认使用SQL Server服务账户，或指定的代理账户；
• Python外部脚本（sp_execute_external_script）：由SQL Server Launchpad服务的运行账户执行。

2. 限制xp_cmdshell的文件访问权限 #

• 推荐创建专用的xp_cmdshell代理账户（避免影响SQL Server核心服务账户）：

  EXEC sp_xp_cmdshell_proxy_account 'DOMAIN\CmdshellLimitedUser', 'StrongPassword123';
  

• 在文件系统中，找到目标文件c:\inetpub\wwwroot\web.config，给上述代理账户（或原SQL Server服务账户）设置拒绝读取权限。

3. 赋予Launchpad服务账户文件读取权限 #

• 打开Windows服务管理器，找到服务MSSQL$<你的实例名>Launchpad，查看其运行账户（默认多为NT Service\MSSQL$<实例名>Launchpad）；
• 在目标文件的权限设置中，给该Launchpad账户添加允许读取权限。

4. 修正Python脚本的读取方式 #

避免通过os.system调用系统命令（本质还是依赖系统进程权限），改用Python内置文件读取方法，确保直接使用Launchpad账户权限：

EXEC sp_execute_external_script
@language =N'Python',
@script= N'
with open(r''c:\inetpub\wwwroot\web.config'', ''r'', encoding=''utf-8'') as f:
    file_content = f.read()
print(file_content)
'

5. 验证配置 #

• 重新执行xp_cmdshell命令，确认仍返回“Access is denied.”；
• 执行修正后的Python脚本，确认能正常输出文件内容。

关键注意事项 #

• 权限优先级：文件权限中的拒绝会覆盖允许，确保xp_cmdshell的账户被明确拒绝；
• 不要随意修改SQL Server服务账户权限，使用代理账户管理xp_cmdshell权限更安全；
• Launchpad服务账户的权限需在本地文件系统中配置，若文件在远程共享，还需配置对应网络权限。

内容的提问来源于stack exchange，提问作者lapinozz