MS SQL Server

Zapraszam na 12. spotkanie grupy Polish SQL Server User Group w Lublinie, które tym razem poświęcone będzie zagadnieniom związanym z dostępem do danych z aplikacji - sesję główną poprowadzi Marcin Borecki. Spotkanie odbędzie się we worek 20 stycznia 2009 roku (godz. 17:00-19:00) w siedzibie Anica System S.A., ul. Konrada Wallenroda 4C, 20-607 Lublin, V piętro (można wchodzić od 16:30).

Rejestracja polega na:
1) wysłaniu komentarza do tego posta z imieniem i nazwiskiem
lub
2) wysłaniu wiadomości ze swoim imieniem i nazwiskiem z tego adresu.

Agenda:
17:00-17:10 - sprawy organizacyjne
17:15-18:15 - Rola aplikacji w dostępie do danych (Marcin Borecki)
18:20-19:00 - Aplikacje a dostęp do danych - studium przypadku i dyskusja

Tematyka spotkania jest jak widać całkiem przekrojowa, a w dodatku bardzo istotna. Marcin na pewno będzie pokazywał, jak pisać kod aplikacji, aby dostęp do danych był wydajny oraz co zrobić, jeśli kodu nie widzimy i nie możemy go zmienić. Dla najaktywniejszych uczestników przewidujemy atrakcyjne nagrody. Na spotkaniu zostaną także rozdane identyfikatory członkowskie PLSSUG Lublin, które wykonał nasz sponsor - firma Microsoft (jeśli tylko uda mi się je odebrać kilka dni wcześniej przy okazji spotkania w siedzibie MS w Warszawie).

Więcej informacji:
Kalendarz: 12. spotkanie PLSSUG Lublin

Kilka dni temu ukazał się exploit umożliwiający zdalne wykonanie kodu przy wykorzystaniu znanej od 4 grudnia podatności przepełnienia sterty (heap overflow vulnerability) w procedurze systemowej sp_replwritetovarbin. Kilka dni po publikacji exploita Microsoft potwierdził, że narażonych jest całkiem sporo wersji systemu SQL Server. Problem dotyczy bowiem wszystkich wersji 2000 oraz wszystkich 2005 bez najnowszego SP3, który lukę eliminuje. SQL Server 2008 jest wolny od problemu.

sp_replwritetovarbin to rozszerzona procedura składowana (extended stored procedure - czyli de facto zewnętrzna biblioteka wywoływana w kontekście instancji SQL Server) wykorzystywana przez wewnętrzne interfejsy replikacyjne wyłącznie w jednej sytuacji - kiedy w replikacji transakcyjnej z modyfikowalnymi subskrypcjami (transactional replication with updatable subscriptions) o odpowiednim ustawieniu @update_mode ('failover' lub 'queued tran' - domyślne) dokonywana jest DMLowa operacja modyfikacji w tabelach subskrypcji. Aby zablokować możliwość przeprowadzenia ataku najlepiej odebrać prawa wykonywania procedury roli public (REVOKE) lub odmówić tego prawa (DENY):

USE master
DENY EXECUTE ON sp_replwritetovarbin TO public

a następnie - o ile to możliwe - podnieść wersję instancji do co najmniej SQL Server 2005 SP3. Oczywiście powyższa zmiana uprawnień będzie skutkowała wyłożeniem się replikacji (ale tylko w/w rodzaju, pozostałe replikacje - np. klasyczna transakcyjna - nie są zagrożone workaroundem).

Na czym polega problem z niesławną procedurą sp_replwritetovarbin? Na tym, że kiedy zostanie wywołana z takimi przykładowymi parametrami:

DECLARE @retcode int,
@end_offset int,
@vb_buffer varbinary,
@vb_bufferlen int,
@buf nvarchar;
EXEC master.dbo.sp_replwritetovarbin 1, @end_offset output, @vb_buffer output, @vb_bufferlenoutput,
'AAAAAAAAAAAAAAAA(..3 tysiące liter A..)AAAAAAAAAAAAAA','1','1','1', '1','1','1','1','1','1';

to biblioteka stojąca za procedurą wykona zapis do kontrolowanego adresu w pamięci, przez co możliwe jest wstrzyknięcie i wykonanie obcego kodu w kontekście procesu instancji SQL Server. Gotowy exploit można znaleźć tutaj (zapytania zaszyte w kodzie VB strony ASP, exploit tworzy tzw. reverse shella na porcie 4445). Atakujący musi dysponować uwierzytelnionym dostępem do instancji serwera (czyli mówiąc wprost musi być w stanie wykonać kod T-SQL choćby w kontekście konta o najsłabszych uprawnieniach), gdyż prawo wywołania procedury przypisane jest do roli public bazy master. Do wykorzystania exploita w scenariuszu prawdziwego ataku potrzebny jest więc także np. skuteczny SQL injection, choć oczywiście to tylko jedna z wielu możliwości.

Luka jest moim zdaniem całkiem poważna i występuje w miejscu, które od dawna wskazywane było i jest jako niebezpieczne - czyli wesoły i swawolny obszar rozszerzonych procedur składowanych. Od kiedy w wersji SQL Server 2005 pojawiła się możliwość integracji CLR (czyli pisania m.in. procedur składowanych w kodzie zarządzanym .NET), uzasadnienie istnienia procedur XP ogranicza się już tylko do kwestii interfejsów wewnętrznych/systemowych, a i te można przecież "unatywnić" w samym silniku bazodanowym, tak jak jest to zrobione m.in. z obsługą dziennika transakcji. Choć z drugiej strony całkowicie rozumiem programistów z Redmond - też bałbym się dotykać czegokolwiek związanego z replikacją :)

Więcej informacji:
Microsoft Security Advisory (961040): Vulnerability in SQL Server Could Allow Remote Code Execution
SEC Consult Security Advisory < 20081209-0 >
EXPLOIT: Microsoft SQL Server "sp_replwritetovarbin()" Heap Overflow - Reverse Shell

Zgodnie z zapowiedziami, Microsoft 15 grudnia 2008 roku udostępnił SP3 do SQL Server 2005. Warto zaznaczyć, że trzeci Service Pack nie jest krokiem w kierunku rozwoju funkcjonalności, tylko zagregowanym zbiorem poprawek, które wydane zostały od czasów (nie)sławnego SP2. Publiczny SP3 jest przeznaczony dla wszystkich edycji poza Express Edition (w przypadku tej wersji poprawka w trybie private jest udostępniana na żądanie). Build nowego SP to 9.00.4035. Plik instalacyjny waży 300-400 MB w zależności od architektury systemu docelowego (32bit/64bit/Itanium).

Przy okazji wspomnę, że kilka dni wcześniej wydany został także Feature Pack do SQL Server 2005, czyli zestaw 24 dodatkowych (niezależnych) narzędzi o bardzo różnym przeznaczeniu, które rozszerzają możliwości serwera. Są nimi:
- Microsoft ADOMD.NET,
- Microsoft Core XML Services (MSXML) 6.0,
- Microsoft OLEDB Provider for DB2,
- Microsoft SQL Server Management Pack for MOM 2005,
- Microsoft SQL Server 2000 PivotTable Services,
- Microsoft SQL Server 2000 DTS Designer Components,
- Microsoft SQL Server Native Client,
- Microsoft SQL Server 2005 Analysis Services 9.0 OLE DB Provider,
- Microsoft SQL Server 2005 Backward Compatibility Components,
- Microsoft SQL Server 2005 Command Line Query Utility,
- Microsoft SQL Server 2005 Datamining Viewer Controls,
- Microsoft SQL Server 2005 JDBC Driver,
- Microsoft SQL Server 2005 Management Objects Collection,
- Microsoft SQL Server 2005 Compact Edition,
- Microsoft SQL Server 2005 Notification Services Client Components,
- Microsoft SQL Server 2005 Upgrade Advisor,
- Microsoft .NET Data Provider for mySAP Business Suite, Preview Version,
- Reporting Add-In for Microsoft Visual Web Developer 2005 Express,
- Microsoft Exception Message Box,
- Data Mining Managed Plug-in Algorithm API for SQL Server 2005,
- Microsoft SQL Server 2005 Reporting Services Add-in for Microsoft SharePoint Technologies,
- Microsoft SQL Server 2005 Data Mining Add-ins for Microsoft Office 2007,
- SQL Server 2005 Performance Dashboard Reports,
- SQL Server 2005 Best Practices Analyzer.

Więcej informacji i pobieranie:
Download: Microsoft SQL Server 2005 Service Pack 3
Books Online: What's New in SQL Server 2005 SP3
Download: Feature Pack for Microsoft SQL Server 2005 - December 2008

Zapraszam na 11. spotkanie grupy Polish SQL Server User Group w Lublinie, które tym razem poświęcone będzie zagadnieniom związanym z codzienną pracą programistów bazodanowych i administratorów dbających o wydajność instancji SQL Server. Spotkanie odbędzie się we środę (wyjątkowo nie we wtorek) 17 grudnia 2008 roku (godz. 17:00-19:00) w siedzibie Anica System S.A., ul. Konrada Wallenroda 4C, 20-607 Lublin, V piętro (można wchodzić od 16:30).

Rejestracja polega na:
1) wysłaniu komentarza do tego posta z imieniem i nazwiskiem
lub
2) wysłaniu wiadomości ze swoim imieniem i nazwiskiem z tego adresu.

Agenda:
17:00-17:20 - sprawy organizacyjne
17:30-19:00 - Przypadki użycia obiektów bazodanowych i optymalizacji (Andrzej Ochera)

Z tego co wiem sesja Andrzeja na pewno będzie zakładała mini-dyskusję n/t każdego z prezentowanych case'ów. W ramach przyjacielskich wizyt gościem specjalnym na spotkaniu będzie Rafał Czupryński z Microsoft Polska, czyli przedstawiciel jednego z naszych głównych sponsorów. Może przywiezie coś pod choinkę? :) Nawet jeśli nie przywiezie, to poprzez uczestnictwo w dyskusji i/lub odpowiedź na pytania prelegenta można będzie wygrać atrakcyjne nagrody.

Więcej informacji:
Kalendarz: 11. spotkanie PLSSUG Lublin

Microsoft udostępnił ciekawy dokument, będący obowiązkową pozycją dla wszystkich chcących upgrade'ować swój SQL Server do wersji SQL Server 2008. Guide jest pozycją na pewno nie najkrótszą (prawie 500 stron), jednak traktuje o wszystkich istotnych aspektach związanych z procesem podnoszenia wersji i na pewno pomaga uniknąć przykrych niespodzianek (np. brak możliwości podniesienia pewnych edycji wersji SQL Server 2005 do pewnych edycji 2008). Dokument dotyczy podnoszenia wersji wszystkich usług SQL Server (czyli też np. Analysis Services) w różnych strategiach upgrade'u (in-place, side-by-side) z różnych wersji silnika (SQL Server 2000, SQL Server 2005). Polecam.

Więcej informacji i pobieranie:
Download: SQL Server 2008 Upgrade Technical Reference Guide

Zapraszam na 10. spotkanie grupy Polish SQL Server User Group w Lublinie, które tym razem poświęcone będzie zagadnieniom związanym z raportami. Spotkanie odbędzie się we wtorek 18 listopada 2008 roku (godz. 17:00-19:00) w siedzibie Anica System S.A., ul. Konrada Wallenroda 4C, 20-607 Lublin, V piętro (można wchodzić od 16:30).

Rejestracja polega na:
1) wysłaniu komentarza do tego posta z imieniem i nazwiskiem
lub
2) wysłaniu wiadomości ze swoim imieniem i nazwiskiem z tego adresu.

Agenda:
17:00-17:10 - sprawy organizacyjne
17:10-18:20 - Fascinated by Microsoft SQL Server 2008 Reporting Services - Co nowego w zakresie tworzenia raportów (Agnieszka Janiak)
18:30-19:00 - dyskusja i konkurs

Więcej informacji:
Kalendarz: 10. spotkanie PLSSUG Lublin

Przy okazji któregoś z wcześniejszych postów pisałem, że Microsoft ma plan wydawania kolejnych wersji systemu SQL Server co 2 lub 3 lata. Firma z Redmond zdania nie zmieniła i następny SQL Server powinien ujrzeć światło dzienne w pierwszej połowie 2010 roku, czyli nawet szybciej niż pełne dwa lata od obecnie najnowszej wersji. W roku 2009 spodziewane jest pierwsze publiczne SQL Server 2010 CTP (Community Technology Preview). Nazwa kodowa SQL Server 2010 to Kilimanjaro, czyli - moim skromnym zdaniem - najgłupsza nazwa ze wszystkich dotychczas wymyślonych. Coś mi się wydaje, że w roku 2012 będzie można odnieść to samo wrażenie. Chociaż w sumie np. SQL Server 2012 code name Szczebrzeszyn cechowałby się swoistym pierwiastkiem niepowtarzalności :) A skoro już wyrażam swoją subiektywną opinię to już na poważnie dodam, że nie sądzę, żeby rynek potrzebował kolejnej wersji MSSQLa w ciągu najbliższych 2-3 lat. Wiadomo jednak, że dział marketingu zawsze wie lepiej no i nowa wersja będzie relatywnie w tempie błyskawicznym.

Co nowego pojawi się w SQL Server 2010? Na ten moment wiadomo, że na pewno ma to być kolejny ukłon w stronę BI. Microsoft zacznie lansować metodykę managed self service (czyli w wolnym tłumaczeniu - samoobsługa zarządzana) w nowych narzędziach raportowych, które mają być już tak cudowne, że wielość źródeł danych czy potrzeby raportowania ad-hoc nie będą stanowiły absolutnie żadnego problemu. Bardziej zorientowani na rynku BI skojarzą zapewne fakt, że Microsot całkiem niedawno przejął firmę DATAllegro. I tutaj znowu subiektywne spostrzeżenie: z tego punktu widzenia SQL Server 2010 to po prostu zwrot z tej inwestycji.

Oczywiście dwa lata na rynku IT to całkiem sporo, zwłaszcza w działce BI. Microsoft nie ma oddzielnego pakietu BI, tego typu rozwiązania to część rodziny SQL Server. Ma to swoje plusy dodatnie i plusy ujemne, także w zakresie harmonogramu i celowości wprowadzania nowych wersji. Oczywiście ocena nowości zależy także od "punktu siedzenia". Przeciętny developer pomyśli sobie - "nowa wersja, fajnie, będą nowe ficzery żeby jeszcze mnie wydajnie pobierać dane do raportów nowym językiem BINQ, którego składnia przypomina teksty w dymkach komiksów". DBA nie podzieli już optymizmu developera, bo dla niego każda nowa funkcjonalność oglądana jest przez pryzmat tego, którą funkcjonalność zastępuje - bo jest spora szansa, że przy podniesieniu wersji właśnie to przestanie działać.