一条SQL注入引出的惊天大案

运维 数据库运维
WAF公司拦截到一个神秘的HTTP数据包,在这个包的表单字段中发现了SQL语句。目标指向80端口,而这正是nginx公司的地盘。

 1. 虚拟机的世界

一个安静的夜晚,我,一个新的线程诞生了!

我抬头一看,原来我降生的地方是在一个IE浏览器中,这里是一个Windows帝国!

一生下来就要干活了,拿着我的代码开始忙活。

忙碌了一会儿,正当我在磁盘上写入了一个kernerl32.dll文件,我突然被冻结了,动弹不得,不仅如此,我看到其他线程也被冻结了,整个Windows帝国像是被冰封了一般!

“小样,总算现出了原型,果然是一个漏洞攻击网页!”,周围突然响起了一个声音。

“谁?谁在说话?”,我大声呼喊。

“别挣扎了,你现在在虚拟机里,命运由我掌控!”。

虚拟机?!原来这个Windows帝国是一个虚拟的世界,我开始为我的命运担忧起来。

突然,漆黑降临,身边的线程一个个消失,帝国大厦也陆续坍塌,终于,轮到了我,我这短暂的一生就这样结束了·······

这到底是怎么一回事?故事还得从那个被WAF公司拦下的HTTP数据包说起。

2. 突袭nginx公司

WAF公司拦下那个数据包的当晚,黑衣人带队闯入nginx公司。

“把你们头儿叫来,我们是WAF公司的安全人员,发现一起针对80端口的SQL注入,经查80端口是你们nginx公司在监听”。

小马哥闻讯赶来,了解情况后,却松了一口气。

”这位大哥,80端口确实是我们在监听不错,但我们只是做代理转发,实际提供服务的是隔壁Apache公司,你们还是去他们那里看看吧“。

见黑衣人不信,小马哥拿出了公司的配置文件: 

  1. server {  
  2.     listen   80;  
  3.     location / {  
  4.         proxy_pass http://127.0.0.1:8088;  
  5.     }     

黑衣人看罢,查了下8088端口的监听者,转身离去,直奔Apache公司。

3. 发现案情

Apache公司当值的小胖被黑衣人的来势汹汹吓了一跳,表明来意后,小胖带着黑衣人来到了日志管理部门,开始分析起了这段时间的Web日志。

不看不知道,一看吓一跳,原来在WAF公司来到帝国之前,已经发生了多起的SQL注入事件!

突然一条日志中的SQL引起了黑衣人的注意: 

  1. select url from imgs into   
  2. outfile '/var/www/welcome.php' 

这是向磁盘写入了一个文件啊!凭借多年经验,黑衣人断定welcome.php是一个webshell木马。

一旁的小胖也吓了一跳,赶紧解释说:大人,这不关我们Aapche的事儿啊,这是那个外包公司PHP搞的,是他们的问题。

黑衣人没有多言,连忙去帝国文件管理部去检查这个文件。

然而当黑衣人拿到这个文件后,发现它和自己见过的webshell并不一样,内容中出现了不少的js代码和大量的未知编码数据。

黑衣人想起远在Windows帝国的老周,或许他知道这是什么。

[[322624]]

(关于老周的故事,欢迎移步:我是一个杀毒软件线程)

361杀毒公司的老周收到了黑衣人的消息,开始对这个文件进行分析。老周看着有点眼熟,但又想不起何时曾经见过。

老周不敢贸然让其运行,以防发生不测,决定将其放在一个虚拟的环境中运行,看看它的反应。

于是发生了前面的那一幕······

4. 大战前夕

老周准备向WAF公司黑衣人反馈分析的结果。

老弟:

你让我分析的文件已经有结果了。

昨天刚拿到的时候还觉得有点眼熟,今天一分析果然,之前我们这里的IE浏览器就曾经中过招!

这是一个包含浏览器漏洞攻击的网页,Windows帝国的IE浏览器只要一打开就会被植入木马程序。

详细的分析报告请在附件中查看。

——老周

黑衣人收到老周的报告,心里更加的忐忑,从日志分析来看,这条SQL注入记录已经有一个多月了,这期间已经有数不清的浏览器来请求这个welcome.php页面,不知道有多少人中了招。。。

容不得多想,黑衣人赶紧清除了这个文件,并让小胖通知PHP公司,修复漏洞。

夜深了,黑衣人离去,一切重归安宁。

[[322625]]

Linux帝国网络部负责TCP连接的小Q准备打个盹儿,这么晚估计是没有活干了。没想到刚躺下,就来了一个连接请求,小Q揉揉惺忪的睡眼,准备来处理,然后接着很快来了第二个,第三个,第四个······

奇怪的是,每一个连接只发送了一个SYN就没了音讯,小Q开始意识到情况不妙,拉响了帝国安全警报······

[[322626]]

未完待续······· 

 

责任编辑:庞桂玉 来源: 数据库开发
相关推荐

2020-09-21 06:43:59

AtomicIntegNumber内存

2021-08-18 11:24:51

币圈黑客安全顾问

2021-08-12 05:29:53

区块链加密货币黑客

2016-05-24 10:16:23

2023-11-17 22:56:47

ChatGPTAI

2015-03-25 19:15:08

2018-03-20 10:46:11

2013-09-13 09:58:49

2017-03-01 14:28:25

2021-04-16 07:04:53

SQLOracle故障

2023-03-26 22:42:02

SQL关联索引

2022-02-11 14:43:53

SQL语句C/S架构

2020-07-01 09:07:52

SQL索引语句

2022-05-31 13:58:09

MySQL查询语句

2024-01-03 17:42:32

SQL数据库

2023-02-26 23:31:01

SQL数据库

2021-06-07 08:37:03

SQL 查询语句

2021-02-09 09:50:21

SQLOracle应用

2023-11-01 16:50:58

2021-08-03 08:41:18

SQLMysql面试
点赞
收藏

51CTO技术栈公众号