Chris's questions

我对 NETWORK SERVICE 帐户（组？）在网络共享上的工作感到困惑：

一方面，网络服务通常被描​​述为给定机器的本地帐户。（例如，参见此处的 serverfault或 Microsoft 的IIS 6.0文档中的访问控制。）所以它不是域范围的帐户。并且，例如，如果在 SERVERA 上的 NETWORK SERVICE 下运行的进程试图请求 SERVERB 上的资源，则身份验证不会在某些假设的 MYDOMAIN\NETWORK SERVICE 下，而是在 MYDOMAIN\SERVERA$ 下。（后者被称为 SERVERA 的“计算机帐户”。）

另一方面，我注意到我可以转到我拥有管理员权限的远程文件共享，并为 NETWORK SERVICE 的特定目录设置权限。（例如，我可以在 Windows 资源管理器中转到 \\MYSHARE，右键单击其中一个目录，转到安全 > 编辑 > 添加，在“输入要选择的对象名称”框中键入“网络服务”，然后单击“确定”。现在我在“组或用户名”列表中有一个新的 NETWORK SERVICE 条目，我可以更改它的权限，就像我可以更改“用户”组的权限一样。）

如果 NETWORK SERVICE 严格来说是一个机器帐户，我不明白当我在远程共享上为 NETWORK SERVICE 创建一组权限时会发生什么。该条目是否指的是一台特定（未指定）机器上的 NETWORK SERVICE？从图标判断，权限在技术上是针对 NETWORK SERVICE组的，而不是针对 NETWORK SERVICE用户的。但我似乎找不到任何有关 NETWORK SERVICE组的文档，也找不到它与常规域组相比如何工作的文档。

到目前为止我唯一的猜测是，如果您授予对 NETWORK SERVICE组的访问权限（假设有这样的事情），这相当于授予对整个域中所有“计算机帐户”的访问权限。（也就是说，在中央文件服务器上授予 NETWORK SERVICE 权限与授予 MYDOMAIN\SERVERA$、MYDOMAIN\SERVERB$、MYDOMAIN\SERVERC$、...、MYDOMAIN\MYLASTSERVER$ 权限相同。）

我正在监视运行 Apache Tomcat 6、在 Windows 上运行的 JVM，我注意到 JVM 进程 (C:\Tomcat\bin\tomcat6.exe) 每隔 3 秒左右轮询一次以查看是否

C:\Tomcatcat\java_pid3748.hprof

存在，其中 3748 是 Windows 进程 ID。

我还没有看到写入hprof 文件，只是测试是否存在。

（我正在使用 Sysinternals Process Monitor (procmon.exe) 进行此监控。在 procmon 中，轮询显示为 QueryDirectory 操作，它始终返回结果“NO SUCH FILE”。）

这是正常的，还是潜在的危险信号？我收集这些 hprof 文件是在您启用

-XX:+HeapDumpOnOutOfMemoryError

Java 标志。我自己没有启用它，虽然我猜它可以在 Tomcat 启动脚本中以某种方式启用。

我正在使用捆绑的 Windows 服务运行器在 Windows 下运行 Tomcat 6。我似乎有以下行为：

• 如果我的一个 Web 应用程序写入标准输出（例如，通过 System.out.println），则此输出会逐字显示在标题为 stdout_xxx.log 的日志中。
• 如果 jvm 本身写入标准输出（就像启用 -XX:+PrintCompilation 一样），则此输出会显示在标题为 jakarta_service_xxx.log 的日志中。

此外， jakarta_service_xxx.log 不是标准输出的直接转储；相反，似乎有些东西正在拦截标准输出并通过 java 日志记录重定向。因此，没有 Tomcat 的 JVM 通常会打印

283 s java.lang.StringBuffer::length (5 bytes)

jakarta_service_xxx.log 中显示的是：

[2010-01-15 17:07:15] [info] 283
[2010-01-15 17:07:15] [info]  s    
[2010-01-15 17:07:15] [info]  java.lang.StringBuffer::
[2010-01-15 17:07:15] [info] l
[2010-01-15 17:07:15] [info] e
[2010-01-15 17:07:15] [info] n
[2010-01-15 17:07:15] [info] g
[2010-01-15 17:07:15] [info] t
[2010-01-15 17:07:15] [info] h
[2010-01-15 17:07:15] [info]  (5 bytes)

你能解释一下为什么 stdout 在这两种情况下会受到不同的对待吗？或者，关于如何从 -XX:+PrintCompilation 获取 JVM 输出以显示在 stdout.log 中的任何提示，而不是上述疯狂？

我在 NTFS 文件系统上有一个巨大的目录 （即包含数千万或数亿后代节点的顶级目录，文件节点可能平均大约三级深），我需要更改其权限。特别是，我需要授予新用户（或组）对目录树中绝对所有内容的只读访问权限。

最明显的做法是在 Windows 资源管理器中右键单击顶级目录并转到目录属性窗口的安全选项卡。然而，当尝试明显的事情时，Windows 资源管理器似乎很兴奋地递归遍历整个目录树并尝试修改树中每个节点的权限。对于这么大的目录，这是非常低效的！

没有这种递归下降，任何人都可以提供更改权限的任何提示吗？我需要单击 GUI 中的特定内容吗？我需要使用命令行工具吗？这可能是以前的系统管理员对该目录中的权限做了一些奇怪的事情的结果吗？

我还需要启用网络共享并让用户/组通过网络挂载目录。还没有尝试过，所以我不知道当我尝试启用共享时是否会有类似的蠕虫。

如果重要，这在 Windows 2008 Server 上。

编辑：人们是对的，向域组而不是特定帐户授予权限可能更有意义，所以我在上面已经注意到这一点（这就是我正在做的事情。我不知道为什么我特别问关于在原始问题中添加用户。抱歉草率）。但当然，将组添加到文件夹的权限列表并不比添加用户快（现有组均未分配只读权限）。

我想知道您是否可以让 Sql Server 查看传入的查询字符串并拒绝与特定模式匹配的查询字符串。换句话说，对于某一类查询（可能由正则表达式标识），我想知道是否可以让 Sql Server 返回错误消息，而不是像往常一样处理它们。

更具体地说，并给出一个潜在的用例，请考虑对 Sql Injection attack 的描述。如果我的网站受到这些技术的持续攻击，并且如果修补网站看起来是一个漫长的过程，那么（如果 Sql 允许的话）尝试通过在 Sql 中放入一些基本上说

如果查询与正则表达式CAST(0x[0-9A-Za-z]{20,}匹配，则不要执行它！

我的猜测是，如果这种过滤是可能的，那么这样做需要编写某种自定义的 Sql Server 加载项 DLL。但也许您可以使用 Sql Server 2008 的内置审计功能来做类似的事情？我真的不知道，我不确定文档中的哪个位置是开始查找的最佳位置。

如果你想指出为什么数据库是一个试图阻止 sql 注入攻击的愚蠢地方，那很好。但我的主要问题不是在这个特定用例中这是否是一个好主意，而是这种查询过滤/拒绝是否可能。

我想将一列添加到大约 10M 行的 Sql Server 表中。我认为这个查询最终会完成添加我想要的列：

alter table T
add mycol bit not null default 0

但它已经持续了几个小时。是否有任何快捷方式可以将“not null default 0”列插入到大表中？或者这本质上真的很慢？

这是 Sql Server 2000。稍后我必须在 Sql Server 2008 上做类似的事情。