找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2656|回复: 0
打印 上一主题 下一主题

从WordPress错误日志里发现SQL注入扫描攻击

[复制链接]
跳转到指定楼层
楼主
发表于 2013-1-11 21:23:34 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
  • 这篇文章介绍了当WordPress开启错误记录以后,根据error_log来发现SQL注入攻击的思路。
    - P  _; a; J' i6 f2 o& _/ `3 I$ }  u8 o
    吸引Cocoa的是这个博客其实是TrustWave公司下属的一个叫Spiderlab团队的官方博客,貌似比较有意思。例如它提到了Honeypot Alert这个标签里的文章都是分析他们一个Web蜜罐的Apache access_log日志的。( e5 w2 R! r7 m9 q$ s/ I) h! J% n$ n
    3 @  V* L4 k9 n. L3 U" b
    简单介绍一下这篇文章吧。
    * U6 g9 f3 b, M9 Z3 n9 W& z0 f7 [6 B( e6 t: w
    开启WP错误记录功能6 k- U4 T! j0 w0 l
    只需要修改wp-config.php的如下几行:
    , ~( ~# {8 @) Q: ^$ E, ]
    / ?* T9 y) G) q@ini_set('log_errors','On'); @ini_set('display_errors','Off'); @ini_set('error_log','/home/example.com/logs/php_error.log');SQL 注入扫描5 q1 H1 z$ s" o) W+ o( G

    * m9 U1 w7 L! F* O- _. Q+ |4 N: s[07-Dec-2012 02:40:49] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'WHERE id = -1\'' at line 1 for query SELECT text, author_id, date FROM  WHERE id = -1\'
    5 n- p6 J8 i/ v8 n) k[07-Dec-2012 02:40:50] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'WHERE id = 999999.9 UNION ALL SELECT 0x31303235343830303536--' at line 1 for query SELECT text, author_id, date FROM  WHERE id = 999999.9 UNION ALL SELECT 0x31303235343830303536--% F; x6 f6 `+ K
    [07-Dec-2012 02:40:53] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'WHERE id = 999999.9 UNION ALL SELECT 0x31303235343830303536,0x313032353438303035' at line 1 for query SELECT text, author_id, date FROM  WHERE id = 999999.9 UNION ALL SELECT 0x31303235343830303536,0x31303235343830303536--5 F9 |  s+ d8 A% Q, ~/ B
    上面的日志就是在暴力猜解表的列数,那个巨大的十六进制值会被解析成null。 2 [( C" g2 B4 c3 n- v
    SQL盲注扫描
    4 e* ^9 Z( _; f) k攻击者使用了类似"waitfor delay"和"benchmark"这样的函数来盲注。
    . ?4 C% A5 e4 d7 n0 W) D6 M. x4 @+ j! U/ g7 p+ C
    [07-Dec-2012 02:43:21] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'WHERE id = -1; if (1=1) waitfor delay \'00:00:05\'--' at line 1 for query SELECT text, author_id, date FROM  WHERE id = -1; if (1=1) waitfor delay \'00:00:05\'--
    . R8 [! ^- ^- F[07-Dec-2012 02:43:27] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'WHERE id = -1 and if(1=1,BENCHMARK(8623333,MD5(0x41)),0)' at line 1 for query SELECT text, author_id, date FROM  WHERE id = -1 and if(1=1,BENCHMARK(8623333,MD5(0x41)),0)% Y# |7 Z+ ]. ^% w; X
    Google一下大规模扫描
    ' y% y. E; Z3 g! q" x1 E; m
    0 \8 z1 S: Y' g. ~' D! }0 s8 I4 A3 |5 V$ g5 `, z2 R8 n1 k. C- f
                               8 U9 L4 h( T% {! l3 u. I
    / }0 W( U' [7 }( Z, Z4 {* A

    5 c1 C6 I8 Q; ~9 s0 L2 v! |2 C5 l: y/ Z% a( M
                                   僵尸网络控制着可能使用被感染主机来识别潜在的目标。下面是该公司的蜜罐捕获到的一个RFI(远程文件包含)攻击代码里的片段:
  • sub google() { my @list; my $key = $_[0]; for (my $i=0; $i<=400; $i+=10){ my $search = ("http://www.google.com/search?q=".&key($key)."&num=100&filter=0&start=".$i); my $res = &search_engine_query($search); while ($res =~ m/<a href="\"?http:\/\/([^">\"]*)\//g) { if ($1 !~ /google/){ my $link = $1; my @grep = &links($link); push(@list,@grep);            }        }    } return @list;. n& G2 `& Z  T, I! G, B
/ {" U$ m0 q$ q/ r  K; g1 b
Cocoa总结:文章比较简单,但是从日志来检测攻击貌似是目前流行的一个方向。​
8 I7 g3 ]1 p% N0 G

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表