事件型別:稽核失敗

事件來源:MSSQLSERVER
事件種類:登入 
事件 ID:18456
日期:2015-4-22
事件:11:11:21
使用者:域\計算機名
計算機:域
描述:
使用者 '域\計算機名$' 登入失敗。 原因: 基於令牌的伺服器訪問驗證失敗，出現基礎結構錯誤。請檢查以前的錯誤。 [客戶端: 192.168.1.183]


有關更多資訊，請參閱在 http://go.microsoft.com/fwlink/events.asp 的幫助和支援中心。
資料:
0000: 18 48 00 00 0e 00 00 00   .......
0008: 0c 00 00 00 53 00 5a 00   ....
0010: 31 00 43 00 41 00 52 00   
0018: 44 00 31 00 2d 00 44 00   
0020: 42 00 00 00 07 00 00 00   B......
0028: 6d 00 61 00 73 00 74 00   
0030: 65 00 72 00 00 00         e.r...  

分析及解決：

現在我們只知道是這臺計算機： [域\計算機名 ]，IP為：192.168.1.183 ，這臺計算機要連線到當前的資料庫伺服器，才提示“稽核失敗”

但是不清楚是什麼程序或服務連線過來的！所以這錯誤也沒什麼可分析了！~

現在開啟 【Sql Server Profiler】監控以下事件，注意要選擇列【ClientProcessID】：

Error and Warnings \ ErrorLog

Error and Warnings \ ErrorLog

開啟跟蹤一段時間，直到出現該錯誤！~

這是可以看到 程序號 ClientProcessID=2136

登入到伺服器 192.168.1.183 ，開啟【工作管理員】找到 程序號ClientProcessID=2136 的服務

開啟計算機服務，發現是這個服務是以“本地系統” 執行的，改為 域管理員或者其他賬戶執行，不再出現了！ 

出現這種情況，大都是賬戶許可權不足。

附加：（或者使用T-SQL跟蹤）

-- Create a Queue
declare @rc int
declare @TraceID int
declare @maxfilesize bigint			--跟蹤檔案的大小，單位是MB，預設不設定為5MB
declare @TraceFilePath nvarchar(500)-- 跟蹤檔案的路徑
set @maxfilesize = 20
set @TraceFilePath=N'G:\ErrorLog_Trace'

exec @rc = sp_trace_create @TraceID output, 0,@TraceFilePath, @maxfilesize, NULL 
if (@rc != 0) goto error

-- Set the events
declare @on bit
set @on = 1
exec sp_trace_setevent @TraceID, 22, 7, @on
exec sp_trace_setevent @TraceID, 22, 31, @on
exec sp_trace_setevent @TraceID, 22, 8, @on
exec sp_trace_setevent @TraceID, 22, 64, @on
exec sp_trace_setevent @TraceID, 22, 1, @on
exec sp_trace_setevent @TraceID, 22, 9, @on
exec sp_trace_setevent @TraceID, 22, 41, @on
exec sp_trace_setevent @TraceID, 22, 49, @on
exec sp_trace_setevent @TraceID, 22, 6, @on
exec sp_trace_setevent @TraceID, 22, 10, @on
exec sp_trace_setevent @TraceID, 22, 14, @on
exec sp_trace_setevent @TraceID, 22, 26, @on
exec sp_trace_setevent @TraceID, 22, 3, @on
exec sp_trace_setevent @TraceID, 22, 11, @on
exec sp_trace_setevent @TraceID, 22, 35, @on
exec sp_trace_setevent @TraceID, 22, 51, @on
exec sp_trace_setevent @TraceID, 22, 12, @on
exec sp_trace_setevent @TraceID, 22, 20, @on
exec sp_trace_setevent @TraceID, 22, 60, @on
exec sp_trace_setevent @TraceID, 21, 7, @on
exec sp_trace_setevent @TraceID, 21, 31, @on
exec sp_trace_setevent @TraceID, 21, 8, @on
exec sp_trace_setevent @TraceID, 21, 64, @on
exec sp_trace_setevent @TraceID, 21, 1, @on
exec sp_trace_setevent @TraceID, 21, 9, @on
exec sp_trace_setevent @TraceID, 21, 41, @on
exec sp_trace_setevent @TraceID, 21, 49, @on
exec sp_trace_setevent @TraceID, 21, 6, @on
exec sp_trace_setevent @TraceID, 21, 10, @on
exec sp_trace_setevent @TraceID, 21, 14, @on
exec sp_trace_setevent @TraceID, 21, 26, @on
exec sp_trace_setevent @TraceID, 21, 3, @on
exec sp_trace_setevent @TraceID, 21, 11, @on
exec sp_trace_setevent @TraceID, 21, 35, @on
exec sp_trace_setevent @TraceID, 21, 51, @on
exec sp_trace_setevent @TraceID, 21, 12, @on
exec sp_trace_setevent @TraceID, 21, 20, @on
exec sp_trace_setevent @TraceID, 21, 60, @on

-- Set the Filters
declare @intfilter int
declare @bigintfilter bigint

set @intfilter = NULL
exec sp_trace_setfilter @TraceID, 9, 0, 1, @intfilter

exec sp_trace_setfilter @TraceID, 10, 0, 7, N'SQL Server Profiler - 179c8ff5-5879-48dd-a4cc-921575b43b84'

-- Set the trace status to start
exec sp_trace_setstatus @TraceID, 1

-- display trace id for future references
select 
 
[email protected]
goto finish

error: 
select [email protected]

finish: 
go
/*
select * from ::fn_trace_getinfo(0)
select * from sys.traces
select * from ::fn_trace_gettable('G:\ErrorLog_Trace.trc',1)

select ClientProcessID,NTUserName,ApplicationName,HostName,LoginName,StartTime,TextData
from ::fn_trace_gettable('G:\ErrorLog_Trace.trc',1)

exec sp_trace_setstatus 2,0	--停止跟蹤
exec sp_trace_setstatus 2,2	--刪除跟蹤

*/