1.以管理員身份運行數(shù)據(jù)庫服務(wù)
2.已經(jīng)獲得SQL數(shù)據(jù)庫的sysadmin權(quán)限
3.可以連接數(shù)據(jù)庫
SQLserver 的核心漏洞：MSSQL提權(quán)的關(guān)鍵是利用xp-cmdshell這個存儲過程
SQLServer 數(shù)據(jù)庫漏洞安全防護(hù)最基本的調(diào)整
考慮安全，一般可以禁用 sa 賬號；連接數(shù)據(jù)庫的賬號密碼的強度也要足夠
一）禁用 xp_cmdshell
— 1. 查看 xp_cmdshell 是否啟用 （若 run_value 為 1 表示已啟用，為 0 表示已禁用）
EXEC sp_configure ‘show advanced options’, 1;
RECONFIGURE;
EXEC sp_configure ‘xp_cmdshell’;
— 1） 啟用高級選項（若未啟用）
EXEC sp_configure ‘show advanced options’, 1;
RECONFIGURE;
— 2） 禁用 xp_cmdshell
EXEC sp_configure ‘xp_cmdshell’, 0;
RECONFIGURE;
二）禁用 xp_regwrite
USE master;
GO
— 撤銷 PUBLIC 角色對 xp_regwrite 的執(zhí)行權(quán)限
DENY EXECUTE ON xp_regwrite TO PUBLIC;
GO
三）禁用 Ole Automation Procedures
EXEC sp_configure ‘show advanced options’, 1;
RECONFIGURE; — 立即生效
GO
EXEC sp_configure ‘Ole Automation Procedures’, 0;
RECONFIGURE; — 立即生效
GO
最后： 重啟 sqlserver
]]>
–[[ 格式日期 2024-03-25T16:00:00.000Z 格式化為 2024-03-25?]]
function DayFromat(dateTimeStr)
local formattedDateStr =""
if (dateTimeStr == "" or dateTimeStr==nil ) then
return formattedDateStr
end
dateTimeStr = string.gsub(dateTimeStr, "T", " ")
print(dateTimeStr)
-- 使用模式匹配提取日期和時間部分
local dateStr, timeStr = dateTimeStr:match("(%d+-%d+-%d+) (%d+:%d+:%d+)")
if (dateStr == nil) then
formattedDateStr ="Date Format Error"
return formattedDateStr
end
-- 提取日期部分的年、月、日
local year, month, day = dateStr:match("(%d+)-(%d+)-(%d+)")
-- 將提取的月、日格式化為兩位數(shù)的字符串
month = string.format("%02d", tonumber(month))
day = string.format("%02d", tonumber(day))
-- 組合格式化后的日期和原始時間部分
local formattedDateStr = string.format("%s-%s-%s", year, month, day)
local formattedDateTime = string.format("%s %s", formattedDateStr, timeStr)
return formattedDateStr
end
— 示例使用
local date = “2024-03-25T16:00:00.000Z”
local formattedDate = DayFromat(date)
print(formattedDate) — 輸出: 2024-03-25
這個用戶部署了 Gungho系統(tǒng) ，而這個系統(tǒng)需要使用微信小程序。所以系統(tǒng)就會用到 gunghoAPI服務(wù)。（這個服務(wù)不是系統(tǒng)默認(rèn)安裝的服務(wù)，需要手工單獨部署過）
這個服務(wù)部署后，我們客戶端怎樣去調(diào)用這個服務(wù)，我們就可以通過定義一個自定義參數(shù)來描述 gunghoAPI的的 IP及端口，方便客戶端調(diào)用
配置過程如下
這樣，我們就定義了一個編號為 9001 的參數(shù)。 這個參數(shù)可以通過 lua腳本來獲取
lua 獲取自定義編號的參數(shù)定義
nRet, strCanSu= mobox.getParameter(strLuaDEID, ‘9001’)
]]>
我們可以看到，excel第一行是分組行（項目基礎(chǔ)信息，P1，P2）
在P1 下面有 計劃日期；在P2下面也有 計劃日期 ，2個字段名稱是一樣的。我們做讀取數(shù)據(jù)的時候必須要依賴分組 P1、P2的定義才能區(qū)分
我們在做excel導(dǎo)入的時候，針對這類表格。我們需要如下處理
1、導(dǎo)入按鈕設(shè)置
2、在導(dǎo)入腳本的地方主要通過分組屬性來區(qū)分字段
Declare @strSQL as nvarchar(1024)Declare @strTable as nchar(19)Declare @nOrder as intDeclare @strTabOrder as nvarchar(3)Set @nOrder = 1While @nOrder < 1000BeginSet @strTabOrder = REPLACE( str( @nOrder, 3 ), N’ ‘, N’0’ )Set @strTable= N’OI_CROWD_C_MSG_T’ + @strTabOrder— 判斷數(shù)據(jù)表是否存在，不存在就結(jié)束IF NOT EXISTS (SELECT * FROM dbo.sysobjects WHERE id = OBJECT_ID(N'[dbo].[‘ + @strTable + ‘]’) AND OBJECTPROPERTY(id, N’IsUserTable’) = 1)RETURN— 執(zhí)行刪除記錄，刪除指定日期之前的記錄Set @strSQL = N’Delete ‘ + @strTable + N’ Where T_C5 < ”2017-10-07”’EXECUTE sp_executesql @strSQLSet @nOrder = @nOrder + 1End
]]>
— 20171220 以后用這個查詢，以前的用 showdbver20171226 – oldziduan.txt 查詢
— 使用前 請修改 老的數(shù)據(jù)庫名稱 目前用的是 OIOrg.dbo OIAm.dbo OIFile.dbo OIMobox.dbo （老庫用 DMS.dbo）
declare @OIOrgDBVer varchar(40)
declare @AMDBVer varchar(40)
declare @OIFileDBVer varchar(40)
declare @DMSDBVer varchar(40)
declare @CODEDBVer varchar(40)
declare @GunghoVer varchar(40)
declare @REMINDDBVer varchar(40)
declare @WMSDBVer varchar(40)
declare @ISSUEDBVer varchar(40)
declare @PRINTDBVer varchar(40)
select @OIOrgDBVer = ‘OIOrgDB ‘ +(select S_C1 from OIOrg.dbo.OI_ORG_DBVER) + ‘ New- 20230327’
select @AMDBVer = ‘AM8DB ‘ +(select S_C1 from OIAm.dbo.OI_STK_DBVER) + ‘ New- 20200327’
select @OIFileDBVer = ‘OIFileDB ‘ +(select S_C1 from OIFile.dbo.OI_FILE_DBVER) + ‘ New- 20151106’
select @DMSDBVer = ‘DMSDB ‘ +(select CN_S_DMS from OIMobox.dbo.OI_SYS_DBVER) + ‘ New- 20240321’
select @GunghoVer = ‘GunghoDB ‘ +(select CN_S_GUNGHO from OIMobox.dbo.OI_SYS_DBVER) + ‘ New- 20240516’
select @WMSDBVer = ‘WMSDB ‘ +(select CN_S_WMS from OIMobox.dbo.OI_SYS_DBVER) + ‘ New- 20240419’
— select @ISSUEDBVer= ‘ISSUEDB ‘ +(select CN_S_ISSUE from OIMobox.dbo.OI_SYS_DBVER) + ‘ New- 20171110’
select @PRINTDBVer = ‘PRINT ‘ +(select CN_S_PRINT from OIMobox.dbo.OI_SYS_DBVER) + ‘ New- 20171110’
— select @CODEDBVer = ‘CODEDB ‘ +(select CN_S_CODE from OIMobox.dbo.OI_SYS_DBVER) + ‘ New- 20171110’
print ‘列出目前所有數(shù)據(jù)庫版本日期’
print @OIOrgDBVer
print @AMDBVer
print @OIFileDBVer
print @DMSDBVer
print ‘———————- Mobox3Ver 20240613’
print @GunghoVer
— print @CODEDBVer
print @WMSDBVer
— print @ISSUEDBVer
print @PRINTDBVer
]]>
腳本列子
— 功能:
— 3000 功能點 列出與某一個taskid相關(guān)的數(shù)據(jù)
— 若列出數(shù)據(jù)已經(jīng)有，將 新增 頁面按鈕屏蔽 （這個功能是做任務(wù)評測結(jié)果的，結(jié)果只能有一個，不可能多個）
————————————————————————–
json = require (“json”)
mobox = require (“OILua_JavelinExt”)function shownowtaskdata ( strLuaDEID )local nRet, strRetInfo local nType local strTaskID local bHidden=false local strClsID=""--拿到數(shù)據(jù)對象標(biāo)識 nRet, strRetInfo = mobox.getCurEditExtInfo( strLuaDEID ) if ( nRet ~= 0 ) then mobox.error( strLuaDEID, "系統(tǒng)獲取擴展屬性失敗 "..strRetInfo ) return end if ( strRetInfo =='' or strRetInfo==nil or strRetInfo=='{}' ) then mobox.error( strLuaDEID, "系統(tǒng)獲取擴展屬性為空！" ) return end local extinfo = json.decode( strRetInfo ) strClsID=extinfo.cls_id -- 得到當(dāng)前cls的id ，下面操作需要— 獲取任務(wù)全局屬性 （這個案例是與 Gungho任務(wù)系統(tǒng)集成，所以需要這個參數(shù)，別的環(huán)境這個可以忽略
nRet, strRetInfo = mobox.getGlobalAttr( strLuaDEID, “task_id” )
if ( nRet ~= 0 or strRetInfo == ” ) then
mobox.error( strLuaDEID, “系統(tǒng)無法獲取任務(wù)號 “..strRetInfo )
return
end
local input_paramter = json.decode( strRetInfo )
local strTaskID = input_paramter[1].valuelocal strCondition strCondition = "G_TASK_ID='"..strTaskID.."'" --增加隱藏按鈕的依據(jù)-通過條件查詢返回符合數(shù)據(jù)>0 既隱藏 -- local strQeuryCondition="S_TESTITEM='X'" （定義grid某一個字段內(nèi)有某些數(shù)值 這里沒有啟用） nRet, strRetInfo = mobox.getDataObjCount(strLuaDEID, strClsID, strCondition) if (nRet ~= 0 ) then mobox.error(strLuaDEID, "得到數(shù)據(jù)數(shù)量失敗，原因：" .. strRetInfo) return end --轉(zhuǎn)為整數(shù)類型 local nDataCount = tonumber(strRetInfo) if (nDataCount >0) then bHidden=true end --隱藏頁面按鈕 “新增” local strHiddenButton = '' if (bHidden) then strHiddenButton = ',{"action_type":"hidden_button","value":[{"name":"新增"}]}' end local strAction = '[{"action_type":"set_query_condition","value":{"where":"' .. strCondition .. '","order":""}}' strAction = strAction .. strHiddenButton .. ']' mobox.setAction( strLuaDEID, strAction )end
這個列子也可以用于別的一些非法字符串的處理
]]>
為了解決這個問題，我們可以編輯一個lua腳本，將這個數(shù)據(jù)做處理后再顯示（在顯示前事件里面定義這個lua腳本）
腳本列子
–[[? ? 功能說明:? ? ? ? 1） 顯示前做一些字段的處理? ? ? ? 2）前端導(dǎo)入，新增有換行符號 %%3Cbr%%3E ，替換成 <br> 前端html支持的換行內(nèi)容? ? ? ? 3）內(nèi)容中有&，替換成 ＆ 前端解析 &不支持，最好在輸入時進(jìn)行替換–]]json = require(“json”)mobox = require(“OILua_JavelinExt”)require(“oi_basestrfunc”)function BeforeGridShow(strLuaDEID)? ? local nRet, strRetInfo? ? local arobjs, attrs, success? ? — 獲取輸入的DataJson數(shù)據(jù)包? ? nRet, strRetInfo = mobox.getCurEditDataPacket(strLuaDEID)? ? if (nRet ~= 0) then? ? ? ? mobox.error(strLuaDEID, “無法獲取數(shù)據(jù)包!”)? ? ? ? return? ? end? ? if (strRetInfo == ” or strRetInfo == nil) then? ? ? ? return? ? end? ? — 解析數(shù)據(jù)包，數(shù)據(jù)包格式? ? — [{“id”:””,”attrs”:[{“attr”:””,”value”:””},..]},..]? ? local n, nCount? ? success, arobjs = pcall(json.decode, strRetInfo)? ? if (success == false) then? ? ? ? mobox.error(strLuaDEID, “非法的JSON格式!”)? ? ? ? return? ? end? ? nCount = #arobjs? ? if (nCount == 0) then? ? ? ? return? ? end? ? local obj, attrs? ? local nattr_count? ? local strRow, strAttr, strItem? ? local strDataJson? ? local id, strValue? ? local strAttrs? ? strDataJson = ‘[‘? ? local seg = {}? ? local nSegCount = 0? ? for n = 1, nCount do? ? ? ? obj = arobjs[n]? ? ? ? attrs = obj.attrs? ? ? ? nattr_count = #attrs? ? ? ? id = obj.id? ? ? ? strAttrs=”? ? ? ? — 開始過濾顯示數(shù)據(jù)對象屬性? ? ? ? for nIndex = 1, nattr_count do? ? ? ? ? ? strAttr = attrs[nIndex].attr? ? ? ? ? ? strValue = attrs[nIndex].value? ? ? ? ? ? strValue = strValue:gsub(“%%3Cbr%%3E”, “<br>”)? ? ? ? ? ? strValue = strValue:gsub(“&”, “＆”)? ? ? ? ? ? strItem = ‘{“attr”:”‘ .. strAttr .. ‘”,”value”:”‘ .. strValue .. ‘”},’? ? ? ? ? ? strAttrs = strAttrs .. strItem? ? ? ? end? ? ? ? — 取消最后一個,號? ? ? ? strAttrs = trim_laster_char(strAttrs)? ? ? ? strRow = ‘{“id”:”‘ .. id .. ‘”,”attrs”:[‘ .. strAttrs .. ‘]},’? ? ? ? strDataJson = strDataJson .. strRow? ? end? ? — 取消最后一個,號? ? strDataJson = trim_laster_char(strDataJson)? ? strDataJson = strDataJson .. ‘]’? ? local strAction = ‘[{“action_type”:”reset_data_attr”,”value”:’ .. strDataJson .. ‘}]’? ? mobox.setAction(strLuaDEID, strAction)end
這個列子也可以用于別的一些非法字符串的處理
]]>
這個是一個標(biāo)準(zhǔn)的導(dǎo)入模板 ，使用前可以通過修改 表名，字段名稱，字段中文名，字段對應(yīng)賦值變量名稱。
–[[
這個是一個標(biāo)準(zhǔn)的腳本，可以
1、修改里面的數(shù)據(jù)對象名稱 樣品技術(shù)參數(shù)
2、字段相關(guān)名稱（字段中文名、字段名稱、字段賦值變量名稱）
字段名稱? ? ? ? ? ? ? ? ? ? ? ? ? ? 字段中文名? ? ? ? ? 字段對應(yīng)賦值變量名
N_SN? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?序號? ? ? ? ? ? ? ? ? ? ?nSN
S_ITEM_NAME? ? ? ? ? ? ? ? ?名稱? ? ? ? ? ? ? ? ? ? ?strItemName
S_ITEM_M_S_N? ? ? ? ? ? ? ?型號_規(guī)格_數(shù)量? ?strItemMSN
S_ITEM_CODE? ? ? ? ? ? ? ? ?編號? ? ? ? ? ? ? ? ? ? ?strItemCode
S_MANUFACTURER? ? ? ? 生產(chǎn)單位? ? ? ? ? ? ? strFacturer
3、若字段不夠多，或太多，需要調(diào)整程序
4、里面的唯一性判斷是 task_id + S_ITEM_NAME + S_ITEM_CODE （需要根據(jù)情況調(diào)整）
–]]
功能說明：json = require(“json”)
mobox = require(“OILua_JavelinExt”)
require(“oi_basestrfunc”)
function ImportExcle(strLuaDEID)
local nRet, strRetInfo
local strPrjID = ”
local strTaskID = ”
— 獲取全局變量 prj_id, task_id
nRet, strRetInfo = mobox.getGlobalAttr( strLuaDEID, “task_id”,”prj_id” )
if ( nRet ~= 0 or strRetInfo == ” ) then
mobox.error( strLuaDEID, “系統(tǒng)無法獲取全局變量 “..strRetInfo )
return
end
local input_paramter = json.decode( strRetInfo )
strTaskID = input_paramter[1].value
strPrjID = input_paramter[2].value
if ( strTaskID == ” ) then
mobox.error( strLuaDEID, “必須要有項目及任務(wù)相關(guān)信息” )
return
end
— 獲取導(dǎo)入的單條數(shù)據(jù), 返回 {“id”:”xxx”,”attrs”:[{“attr”:”attr1″,”value”:”xxx1″},{“attr”:”attr2″,”value”:”xxx2″}, …]}
nRet, strRetInfo = mobox.getInputParameter(strLuaDEID)
if (nRet ~= 0 or strRetInfo == ” ) then
mobox.error(strLuaDEID, “無法獲取導(dǎo)入數(shù)據(jù)!”..strRetInfo)
return
end
local n, nCount, nValue
local strAddAttr = ”
local strAttr = ”
local strSetSQL = ”
— 一些關(guān)鍵屬性 （腳本 后期只需要改字段名稱就可以）
local nSN? ? ? ? ? ? ? ? ? ? ? ? ? ?— 對應(yīng) 序號 N_SN
local strItemName = ”? ? ? ? — 對應(yīng) 名稱 S_ITEM_NAME
local strItemMSN = ”? ? ? ? ?— 對應(yīng) 型號_規(guī)格_數(shù)量 S_ITEM_M_S_N
local strItemCode = ”? ? ? ? ?— 對應(yīng) 編號 S_ITEM_CODE
local strFacturer = ”? ? ? ? ? ? — 對應(yīng) 生產(chǎn)單位 S_MANUFACTURER
— 因為每次導(dǎo)入只傳一條記錄，所以當(dāng)前條寫入 prj_id 及 task_id
strAddAttr = strAddAttr .. ‘{“attr”:”G_TASK_ID”,”value”:”‘ .. strTaskID .. ‘”},’
strAddAttr = strAddAttr .. ‘{“attr”:”G_PRJ_ID”,”value”:”‘ .. strPrjID .. ‘”},’
local retJson =json.decode(strRetInfo)
local input_rows =retJson[“parameter”]
— 步驟1 獲取從excel導(dǎo)入的一行數(shù)據(jù)，根據(jù)excel的列定義進(jìn)行屬性組合 strAddAttr
nCount = #input_rows
for n = 1, nCount do
strAttr = input_rows[n].attr
strValue = input_rows[n].value
— 根據(jù)導(dǎo)入的excel列頭名稱進(jìn)行判斷
— 關(guān)鍵屬性判斷
if (strAttr == “名稱”) then
if (strValue == ”) then
mobox.error(strLuaDEID, strAttr .. “不能為空!”)
return
end
strItemName = strValue
strAddAttr = strAddAttr .. ‘{“attr”:”S_ITEM_NAME”,”value”:”‘ .. strItemName .. ‘”},’
— 常規(guī)屬性
elseif (strAttr == “序號”) then
nSN = strValue
strAddAttr = strAddAttr .. ‘{“attr”:”N_SN”,”value”:”‘ .. nSN .. ‘”},’elseif (strAttr == “型號_規(guī)格_數(shù)量”) then
strItemMSN = strValue
strAddAttr = strAddAttr .. ‘{“attr”:”S_ITEM_M_S_N”,”value”:”‘ .. strItemMSN .. ‘”},’elseif (strAttr == “編 號”) then
strItemCode= strValue
strAddAttr = strAddAttr .. ‘{“attr”:”S_ITEM_CODE”,”value”:”‘ .. strItemCode .. ‘”},’elseif (strAttr == “生產(chǎn)廠家”) then
strFacturer = strValue
strAddAttr = strAddAttr .. ‘{“attr”:”S_MANUFACTURER”,”value”:”‘ .. strFacturer .. ‘”},’end
end
–去除最后一個，
local strAddAttr1 = trim_laster_char(strAddAttr)— 步驟2 根據(jù) （名稱+編號+taskid） 來判斷導(dǎo)入的檢測數(shù)據(jù)是否已經(jīng)存在
— 如果已經(jīng)存在，根據(jù)導(dǎo)入的數(shù)據(jù)進(jìn)行覆蓋
— 如果不存在需要創(chuàng)建
local attrs
local strCondition = “S_ITEM_NAME='” .. strItemName .. “‘ and G_TASK_ID='”..strTaskID..”‘ and S_ITEM_CODE='” .. strItemCode.. “‘”
nRet, strRetInfo = mobox.existThisData(strLuaDEID, “樣品技術(shù)參數(shù)”, strCondition)
if (nRet ~= 0 ) thenmobox.error(strLuaDEID, “在檢查樣品技術(shù)參數(shù)是否存在時失敗! ” .. strRetInfo)
return
endif (strRetInfo == ‘yes’) then
— 已經(jīng)存在，根據(jù)導(dǎo)入的數(shù)據(jù)進(jìn)行覆蓋
strCondition = “S_ITEM_NAME='” .. strItemName .. “‘ and G_TASK_ID='”..strTaskID..”‘ and S_ITEM_CODE='” .. strItemCode.. “‘”
strSetSQL = “N_SN='” ..nSN.. “‘, S_ITEM_NAME = ‘” .. strItemName ..”‘ , S_ITEM_CODE ='” ..strItemCode .. “‘ , S_ITEM_M_S_N = ‘” .. strItemMSN ..”‘ “
nRet, strRetInfo = mobox.updateDataAttrByCondition(strLuaDEID, “樣品技術(shù)參數(shù)”, strCondition, strSetSQL)
if (nRet ~= 0) then
mobox.error(strLuaDEID, strRetInfo)
return
end
elseif (strRetInfo == ‘no’) then
— 創(chuàng)建 樣品技術(shù)參數(shù)
— mobox.writeSysLog(“strAddAttr1”, strAddAttr1)
strAddAttr1 = ‘[‘ .. strAddAttr1 .. ‘]’
mobox.writeSysLog(“strAddAttr2”, strAddAttr1)
nRet, strRetInfo = mobox.createDataObj(strLuaDEID, “樣品技術(shù)參數(shù)”, strAddAttr1)
if (nRet ~= 0) then
mobox.error(strLuaDEID, “創(chuàng)建樣品技術(shù)參數(shù)失敗! ” .. strRetInfo )
return
endend
end
function
]]>