3

mysql_real_escape_string一部の php スクリプトでは関数が '' 内になく、インジェクションやsleep(30)本番サイトで実行されるようなものに対して脆弱であることに気付きました。

ここでたくさん読んだ後、PDOルートに行き、準備されたステートメントを実装します。しかし、これはまだ実装されていません。

質問はいくつかありますが、私のログを見ると、オンラインの人々によって多くの注射が行われていることがわかりますが、損害は見られません. SQLクエリを実行するためにサイトを実行するユーザーには、update/select/delete/insert特権しかありません。

しかし、私は心配sleep(30)していて、何がうまくいかないのですか？
どこで損害を確認すればよいか教えていただけますか、または少なくとも重大な損害に対して安全でしたか?
非表示の mysql 設定またはシステム設定を変更できますか?

ちなみに、centos 6+ linux と php で最新のアップデートを実行しようとしました。

ありがとう

編集：明確にするために、データベースはほとんど空であり、データがそこにあり、パスワードがsh512でハッシュされていることを心配していません。これは私が書いている新しいアプリケーションであるため、内部のデータは重要ではありません。しかし、私が心配すべきシステムやデータベースで何かが変更されたのではないかと心配しています。私が見たインジェクションのいくつかにはJavaなどが含まれていますが、ログは巨大で、それを調べるのに時間がかかります. インジェクションにはいくつかのスキーマ文字列も表示されます。

問題は、彼らが私のスキーマ情報を読んだり、変更したりできるかということです。制限されたユーザーの場合、スリープなどの機能が機能するのはなぜですか? 彼らは他にどのような機能を実行できたでしょうか?

同じMySQLに他のDBがあることに注意してください。私はそれらについて心配する必要がありますか？

'' つまり: select * from dbname where id=scaped_string 引用符で囲む必要がありました

4

4 に答える 4

3

データに加えられた損傷のチェックは、データベース内のデータの種類によって異なります。注意深く検査した後、何も問題がなければ、おそらく何も問題はありません。データが適切なサイズである場合、これは困難または不可能になります。

SQL インジェクション攻撃に対して脆弱なコードを探してインターネットを徘徊する多くの自動化されたボットがあります。彼らの試みは、おそらくログに表示されているものです。試みが行われたからといって、必ずしも侵入が発生したとは限りません。

また、データが盗まれたという証拠が必ずしもあるとは限らないことにも注意してください。これを判断する最善の方法は、サーバー ログを取得して現在のサーバーのコピーで再生し、データが返されるかどうかを確認することです。

于 2013-03-31T17:00:42.200 に答える
2
于 2013-03-31T18:04:40.070 に答える
0

管理パネルのようなものがある場合は、攻撃者が適切なテーブルから資格情報を簡単に読み取ることができるため、サーバー上の Webshel​​l やその他のバックドアのようなツールを確認する必要があります。そしてもちろん、ページ内の変更を探します (iframe と疑わしい JS コードを探します)。

最悪のシナリオは、書き込み可能なディレクトリで INTO OUTFILE を実行し、ローカル インクルードまたは直接アクセスすることです。

しかし、心配する前にまず、これを最も一般的な自動化された SQL インジェクション チェッカー (ボットと言うかもしれません) と考えてください。損傷が見られない場合は、おそらく侵入はありませんでした。しかし、注意してください - 最近のほとんどの侵入者は、目に見える損傷を探しません。ほとんどの場合、悪意のあるコードをページに挿入します (エクスプロイトを含む iframe など)。

ですから、偏執的になりすぎないように注意してください :)

于 2013-03-31T17:04:26.817 に答える
0

私の知る限り、データが注入されないように入力をサニタイズする以外に、mysql の隠し設定はありません。

あなたは、人々がサイトに多くのインジェクションを行ったのを見たと言いましたが、実際の mysql インジェクションはテーブルを削除する可能性があるため、単純な HTML タグを挿入したり、XXS 攻撃を試みたりしただけで、損傷は見られません。 mysql インジェクションの対象となるすべてのデータを更新、リセットするので、もし私があなたなら、すぐに PDO を実装します。

于 2013-03-31T17:01:48.040 に答える