1，用正則表達(dá)式過濾一些SQL注入關(guān)鍵字。
創(chuàng)新互聯(lián)主營石河子網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司,主營網(wǎng)站建設(shè)方案,app軟件定制開發(fā),石河子h5小程序制作搭建,石河子網(wǎng)站營銷推廣歡迎石河子等地區(qū)企業(yè)咨詢
2，盡量使用參數(shù)形式，少用拼湊型SQL語句
3，條件可以的話，請使用存儲過程操作數(shù)據(jù)庫．
4，轉(zhuǎn)換參數(shù)類型．如是參數(shù)是數(shù)字型，則轉(zhuǎn)換成數(shù)字型的才操作
public class AntiSqlInAttack
{
public System.Web.HttpRequest request;
public AntiSqlInAttack(System.Web.HttpRequest request)
{
this.request = request;
}
public bool CheckBadQuery()
{
//整串字符對比方法
//string badword = ";|'|*|%| and |20%and20%| master |20%master20%|exec|insert|select|delete|count|chr|mid|truncate|char|declare|update";
//string query = request.ServerVariables["Query_String"].ToString();
//string[] badwordArry = badword.Split(new char[] { '|' });
//for (int i = 0; i badwordArry.Length; i++)
//{
// string tempWord = badwordArry[i].Trim();
// if (query.IndexOf(tempWord) = 1)
// return true;
//}
//return false;
if (request.QueryString.Count != 0)
{
for (int i = 0; i request.QueryString.Count; i++)
{
if (CheckBadWord(request.QueryString[i].ToString()))
return true;
}
}
return false;
}
public bool CheckBadForm()
{
if (request.Form.Count 0)
{
for (int i = 0; i request.Form.Count; i++)
{
if (CheckBadWord(request.Form[i]))
return true;
}
}
return false;
}
public bool CheckBadWord(string str)
{
string pattern = @"select|insert|delete|from|count\(|drop table|update|truncate|asc\(|mid\(|char\(|xp_cmdshell|exec master|netlocalgroup administrators|:|net user|""|or|and";
if (Regex.IsMatch(str, pattern, RegexOptions.IgnoreCase) || Regex.IsMatch(str, @"[-|;|,|\/|\(|\)|\[|\]|\}|\{|%|@|\*|!|\']"))
return true;
return false;
}
/**//// summary
/// 反SQL注入
/// /summary
public void AntiSqlInjectionAttack()
{
if (CheckBadQuery() || CheckBadForm())
{
string msg = string.Empty;
msg += "span style='font-size:12px;'非法操作！系統(tǒng)做了如下記錄!br";
msg += "操作IP：" +Utils.GetRealIP()+ "br";
msg += "操作時間：" + DateTime.Now + "br";
msg += "頁面：" + request.ServerVariables["URL"].ToLower() + "br";
msg += "a href=\"#\" onclick=\"history.back()\"返回上一頁/a/span";
MessageBox.ResponseWrite(msg, true);
}
}
}
session fixation 即他人用已知的sid讓你登錄，然后他也可以登錄并操作你的帳號
幾種手段避免吧
1、不要在post和get方法發(fā)送sid，改在cookie中
2、對訪問請求要進(jìn)行ip確認(rèn)，不同ip要重新生成sid。
3、重要數(shù)據(jù)操作時使用加密SSL傳輸。
4、用戶瀏覽器或者登出后，以及任何變動時，要及時換sid
5、設(shè)定不活躍操作的session超時，超時后就重生成sid，降低盜用的可能。
據(jù)外媒ZDNet報道，近期有超過4.5萬家中文網(wǎng)站被發(fā)現(xiàn)容易遭到來自黑客的攻擊，而導(dǎo)致這一安全風(fēng)險出現(xiàn)的根源僅僅是因為一個ThinkPHP漏洞。
報道稱，有多家網(wǎng)絡(luò)安全公司在近期都發(fā)現(xiàn)了針對運(yùn)行著基于ThinkPHP的Web應(yīng)用程序的服務(wù)器的掃描活動。ThinkPHP是一個快速、兼容而且簡單的輕量級國產(chǎn)PHP開發(fā)框架，支持Windows/Unix/Linux等服務(wù)器環(huán)境，以及MySql、PgSQL、Sqlite多種數(shù)據(jù)庫和PDO插件，在國內(nèi) Web 開發(fā)領(lǐng)域非常受歡迎。
另外，所有這些掃描活動都是在網(wǎng)絡(luò)安全公司VulnSpy將一個ThinkPHP漏洞的概念驗證代碼（PoC）發(fā)布到ExploitDB網(wǎng)站上之后開始進(jìn)行的。這里需要說明的是，ExploitDB是一家提供免費(fèi)托管漏洞利用代碼的熱門網(wǎng)站。
VulnSpy公司發(fā)布的概念驗證代碼利用了一個存在于ThinkPHP開發(fā)框架invokeFunction 函數(shù)中的漏洞，以在底層服務(wù)器上執(zhí)行任意代碼。值得注意的是，這個漏洞可以被遠(yuǎn)程利用，且允許攻擊者獲得對服務(wù)器的完全控制權(quán)限。
“PoC是在12月11日發(fā)布的，我們在不到24小時之后就看到了相關(guān)的互聯(lián)網(wǎng)掃描?！?網(wǎng)絡(luò)安全公司Bad Packets LLC的聯(lián)合創(chuàng)始人Troy Mursch告訴ZDNet。
隨后，其他四家安全公司——F5 Labs、GreyNoise、NewSky Security和Trend Micro也報道了類似的掃描。并且，這些掃描在接下來的幾天里一直呈上升趨勢。
與此同時，開始利用這個ThinkPHP 漏洞來開展攻擊活動的黑客組織也在不斷增加。到目前為止，被確認(rèn)的黑客組織至少包括：最初利用該漏洞的攻擊者、一個被安全專家命名為“D3c3mb3r”的黑客組織、以及另一個利用該漏洞傳播Miori IoT惡意軟件的黑客組織。
由Trend Micro檢測到的最后一組數(shù)據(jù)還表明，旨在傳播Miori IoT惡意軟件的黑客組織似乎想要利用該漏洞來入侵家用路由器和物聯(lián)網(wǎng)設(shè)備的控制面板，因為Miori無法在實際的Linux服務(wù)器上正常運(yùn)行。
此外，從NewSky Security檢測到另一組掃描來看，攻擊者試圖在運(yùn)行著基于ThinkPHP的Web應(yīng)用程序的服務(wù)器上運(yùn)行Microsoft Powershell命令。NewSky Security的首席安全研究員Ankit Anubhav告訴ZDNet，“這些Powershell命令看上去有些多余。實際上，攻擊者擁有的一些代碼完全可以用來檢查操作系統(tǒng)的類型，并為不同的Linux服務(wù)器運(yùn)行不同的漏洞利用代碼，運(yùn)行Powershell命令可能只是為了碰碰運(yùn)氣。”
事實上，最大規(guī)模掃描的發(fā)起者應(yīng)該是上述被被安全專家命名為“D3c3mb3r”的黑客組織。但這個組織并沒有做任何特別的事情。他們沒有使用加密貨幣礦工或其他任何惡意軟件來感染服務(wù)器。他們只是掃描易受攻擊的服務(wù)器，然后運(yùn)行一個基本的“echo hello d3c3mb3r”命令。
Ankit Anubhav告訴ZDNet：“我不確定他們的動機(jī)?！?/p>
根據(jù)Shodan搜索引擎的統(tǒng)計，目前有超過45800臺運(yùn)行著基于ThinkPHP的Web應(yīng)用程序的服務(wù)器可在線訪問。其中，有超過40000臺托管在中國IP地址上。這主要是由于ThinkPHP的文檔僅提供了中文版本，因此不太可能在國外被使用。這也是解釋了為什么被認(rèn)為易遭到攻擊的網(wǎng)站大部分都是中文網(wǎng)站。
安全專家認(rèn)為，隨著越來越多的黑客組織了解到這種入侵 Web 服務(wù)器的方法，對中文網(wǎng)站的攻擊也必然會有所增加。
此外，F(xiàn)5 Labs已經(jīng)公布了有關(guān)這個ThinkPHP 漏洞的技術(shù)分析和POC的工作原理，大家可以通過點擊這里進(jìn)行查看。
本文由 黑客視界 綜合網(wǎng)絡(luò)整理，圖片源自網(wǎng)絡(luò)；轉(zhuǎn)載請注明“轉(zhuǎn)自黑客視界”，并附上鏈接。
據(jù)外媒報道，研究人員發(fā)現(xiàn)，CMS制造商Typo3開發(fā)的開源PHP組件PharStreamWrapper存在安全漏洞， 運(yùn)行Drupal、Joomla或Typo3內(nèi)容管理系統(tǒng)的網(wǎng)站均受影響。
據(jù)悉，該漏洞由研究人員Daniel Le Gall發(fā)現(xiàn)，被命名為Drupalgeddon，編號CVE-2019-11831， 允許黑客使用惡意phar歸檔替換網(wǎng)站的合法歸檔文件。 Drupal開發(fā)人員將其標(biāo)記為中等危險級別，低于近期Drupal漏洞和早期遠(yuǎn)程代碼執(zhí)行漏洞的高危評級。
Drupal官方發(fā)布漏洞公告稱，通過構(gòu)造含有惡意代碼的Phar文件， 黑客可繞過Drupal core7.x、8.x版本PHP組件中針對反序列化保護(hù)的攔截器，遠(yuǎn)程執(zhí)行惡意代碼， 影響業(yè)務(wù)系統(tǒng)安全。
此外，黑客還可能會 開發(fā)針對該漏洞的自動化攻擊程序， 植入后門程序進(jìn)一步釋放礦工程序或DDoS僵尸木馬等惡意軟件，影響網(wǎng)站正常運(yùn)行。
截至目前，官方已發(fā)布安全補(bǔ)丁修復(fù)該漏洞， 專家建議網(wǎng)站管理員盡快更新以保護(hù)網(wǎng)站。 其中運(yùn)行Drupal版本8.7的網(wǎng)站需要升級到版本8.7.1，運(yùn)行8.6或更早版本的網(wǎng)站需要更新到版本8.6.16，運(yùn)行版本7的網(wǎng)站需要升級到版本7.67，而Joomla需要升級到版本3.9.6。
做為網(wǎng)絡(luò)開發(fā)者的你對這種黑客行為恨之入骨，當(dāng)然也有必要了解一下SQL注入這種功能方式的原理并學(xué)會如何通過代碼來保護(hù)自己的網(wǎng)站數(shù)據(jù)庫。今天就通過PHP和MySQL數(shù)據(jù)庫為例，分享一下我所了解的SQL注入攻擊和一些簡單的防范措施和一些如何避免SQL注入攻擊的建議。
簡單來說，SQL注入是使用代碼漏洞來獲取網(wǎng)站或應(yīng)用程序后臺的SQL數(shù)據(jù)庫中的數(shù)據(jù)，進(jìn)而可以取得數(shù)據(jù)庫的訪問權(quán)限。比如，黑客可以利用網(wǎng)站代碼的漏洞，使用SQL注入的方式取得一個公司網(wǎng)站后臺數(shù)據(jù)庫里所有的數(shù)據(jù)信息。拿到數(shù)據(jù)庫管理員登錄用戶名和密碼后黑客可以自由修改數(shù)據(jù)庫中的內(nèi)容甚至刪除該數(shù)據(jù)庫。SQL注入也可以用來檢驗一個網(wǎng)站或應(yīng)用的安全性。SQL注入的方式有很多種，但本文將只討論最基本的原理，我們將以PHP和MySQL為例。本文的例子很簡單，如果你使用其它語言理解起來也不會有難度，重點關(guān)注SQL命令即可。
一個簡單的SQL注入攻擊案例
假如我們有一個公司網(wǎng)站，在網(wǎng)站的后臺數(shù)據(jù)庫中保存了所有的客戶數(shù)據(jù)等重要信息。假如網(wǎng)站登錄頁面的代碼中有這樣一條命令來讀取用戶信息。
$q = "SELECT `id` FROM `users` WHERE `username`= ' " .$_GET['username']. " ' AND `password`= ' " .$_GET['password']. " ' ";?現(xiàn)在有一個黑客想攻擊你的數(shù)據(jù)庫，他會嘗試在此登錄頁面的用戶名的輸入框中輸入以下代碼：
' ; SHOW TABLES;
點擊登陸鍵，這個頁面就會顯示出數(shù)據(jù)庫中的所有表。如果他現(xiàn)在使用下面這行命令：
'; DROP TABLE [table name];
這樣他就把一張表刪除了！
防范SQL注入 - 使用mysql_real_escape_string()函數(shù)
在數(shù)據(jù)庫操作的代碼中用這個函數(shù)mysql_real_escape_string()可以將代碼中特殊字符過濾掉，如引號等。如下例：
$q = "SELECT `id` FROM `users` WHERE `username`= ' " .mysql_real_escape_string( $_GET['username'] ). " ' AND `password`= ' " .mysql_real_escape_string( $_GET['password'] ). " ' ";?防范SQL注入 - 使用mysql_query()函數(shù)
mysql_query()的特別是它將只執(zhí)行SQL代碼的第一條，而后面的并不會執(zhí)行?；叵朐谧钋懊娴睦又校诳屯ㄟ^代碼來例后臺執(zhí)行了多條SQL命令，顯示出了所有表的名稱。所以mysql_query()函數(shù)可以取到進(jìn)一步保護(hù)的作用。我們進(jìn)一步演化剛才的代碼就得到了下面的代碼：
//connection
$database = mysql_connect("localhost", "username","password");
//db selection
$q = mysql_query("SELECT `id` FROM `users` WHERE `username`= ' " .mysql_real_escape_string( $_GET['username'] ). " ' AND `password`= ' " .mysql_real_escape_string( $_GET['password'] ). " ' ", $database);?除此之外，我們還可以在PHP代碼中判斷輸入值的長度，或者專門用一個函數(shù)來檢查輸入的值。所以在接受用戶輸入值的地方一定要做好輸入內(nèi)容的過濾和檢查。當(dāng)然學(xué)習(xí)和了解最新的SQL注入方式也非常重要，這樣才能做到有目的的防范。如果使用的是平臺式的網(wǎng)站系統(tǒng)如Wordpress，要注意及時打上官方的補(bǔ)丁或升級到新的版本。
近日，我們SINE安全對metinfo進(jìn)行網(wǎng)站安全檢測發(fā)現(xiàn)，metinfo米拓建站系統(tǒng)存在高危的sql注入漏洞，攻擊者可以利用該漏洞對網(wǎng)站的代碼進(jìn)行sql注入攻擊，偽造惡意的sql非法語句，對網(wǎng)站的數(shù)據(jù)庫，以及后端服務(wù)器進(jìn)行攻擊，該metinfo漏洞影響版本較為廣泛，metinfo6.1.0版本，metinfo 6.1.3版本，metinfo 6.2.0都會受到該網(wǎng)站漏洞的攻擊。
metinfo建站系統(tǒng)使用的PHP語言開發(fā)，數(shù)據(jù)庫采用的是mysql架構(gòu)開發(fā)的，在整體的網(wǎng)站使用過程中，簡單易操作，可視化的對網(wǎng)站外觀進(jìn)行設(shè)計，第三方API接口豐富，模板文件較多，深受企業(yè)網(wǎng)站的青睞，建站成本較低可以一鍵搭建網(wǎng)站，目前國內(nèi)使用metinfo建站的網(wǎng)站數(shù)量較多，該metinfo漏洞會使大部分的網(wǎng)站受到攻擊影響，嚴(yán)重的網(wǎng)站首頁被篡改，跳轉(zhuǎn)到其他網(wǎng)站，以及網(wǎng)站被劫持跳轉(zhuǎn)到惡意網(wǎng)站上，包括網(wǎng)站被掛馬，快照被劫持等情況都會發(fā)生。
關(guān)于該metinfo漏洞的分析，我們來看下漏洞產(chǎn)生的原因：
該漏洞產(chǎn)生在member會員文件夾下的basic.php代碼文件：
metinfo獨有的設(shè)計風(fēng)格，使用了MVC框架進(jìn)行設(shè)計，該漏洞的主要點在于使用了auth類的調(diào)用方式，在解碼加密過程的算法中出現(xiàn)了問題，我們再來看下代碼：
通常加密，以及解密的算法是不可以可逆的，但是metinfo寫的代碼可以進(jìn)行偽造函數(shù)值進(jìn)行逆算，我們看這個構(gòu)造的惡意函數(shù)，這里的key值是從前端met_webkeys值里進(jìn)行獲取，將獲取到的webkeys值進(jìn)行寫入，并賦值到配置文件里，config目錄下的config_safe.php代碼里。我們通過查看這個代碼，發(fā)現(xiàn)寫入的值沒有辦法進(jìn)行PHP腳本的執(zhí)行，本來以為可是偽造key值進(jìn)行寫入木馬，發(fā)現(xiàn)行不通，但是在這個偽造key值的過程可以進(jìn)行sql注入攻擊，采用是延時注入方式進(jìn)行
關(guān)于metinfo漏洞的修復(fù)建議，以及安全方案
目前metinfo最新版本發(fā)布是2019年3月28日，6.2.0版本，官方并沒有針對此sql注入漏洞進(jìn)行修復(fù)，建議網(wǎng)站的運(yùn)營者對網(wǎng)站的后臺地址進(jìn)行更改，管理員的賬號密碼進(jìn)行更改，更改為數(shù)字+字符+大小寫的12位以上的組合方式，對網(wǎng)站的配置文件目錄進(jìn)行安全限制，去掉PHP腳本執(zhí)行權(quán)限，如果自己對代碼不是太熟悉，建議找專業(yè)的網(wǎng)站安全公司來處理修復(fù)漏洞，國內(nèi)SINE安全，以及綠盟，啟明星辰，都是比較不錯的網(wǎng)站漏洞修復(fù)公司。
重慶分公司
重慶分公司
