检测受SQL注入影响的数据集

Question

假设我知道我的一个应用程序受到SQL注入的攻击，我如何识别已编辑或选定的数据集？

显而易见的来源是are服务器日志。这将使我们能够识别漏洞和注入的代码。通常，webserver日志只接收请求，而不接收POST请求。这限制了use服务器日志的使用。

我知道MySQL和其他DBMS有不同类型的日志文件，例如用于慢速查询。在这种情况下还有其他地方可以帮忙吗？是否有任何设置或调整，我应该申请，并将简化分析？

Answer 1

如果您已经经历了sql注入攻击：

默认情况下，MySQL不会记录所有的查询(1)，因为它会显著影响性能。仅仅考虑您的not应用程序直接访问的表也是不够的。

• 如果没有启用日志记录或审核，请确定主数据库中哪些表将被视为“高值”。想想：users，user_creditcards，oauth_keys。任何可能为攻击者带来收益(财务收益、进一步访问权限、密码)的信息。这些可能已经被破坏了。
• 还要考虑has应用程序使用的用户可以访问的任何其他数据库。
• 使用Replication-2在访问日志中查找攻击时间，并检查可用于该时间的MySQL Binlog。这只会给您提供修改查询(UPDATE/INSERT/DELETE/CREATE/ALTER/DROP)。
• 你的网络被监控了吗？其他主机上的数据库和连接是否未加密？询问网络安全人员是否有任何网络流量的捕获。用Wireshark 3.调查捕获。
• 确定数据库用户是否可以使用LOAD DATA INFILE / INTO OUTFILE 4.。如果是这样的话，您还应该进一步调查承载数据库的服务器，以了解进一步的妥协迹象。

如果您试图设计事件响应过程/防御策略或配置指南：

• 考虑使用审计插件5。确定您的高值表。对相关用户访问这些表的情况进行审计。生成的日志可能包含高度敏感的查询，因此进行保护。实施留用政策。
• 考虑部署WAF，以至少捕捉攻击的迹象。查看是否可以将IP标记为可疑，并记录其所有通信量一段时间。同样，这会生成敏感数据。相应地进行保护。
• 将the应用程序上的数据库用户限制在它应该能够访问的绝对最小值。这也意味着查看是否可以限制数据库用户的访问模式:它必须能够SELECT * FROM secrets，还是将应用程序用户限制在存储过程ala CALL findSecretByIdentifier('MySecretIdentifier');上是否有意义？

资源：

1

2

3.

4.

5