搜索

[917] 2019-06-19_MSSQL日志安全分析技巧

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-06-19_MSSQL日志安全分析技巧 M S S Q L 日 志 安 全 分 析 技 巧 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 6 - 1 9 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 常 见 的 数 据 库 攻 击 包 括 弱 口 令 、 S Q L 注 入 、 提 升 权 限 、 窃 取 备 份 等 。 对 数 据 库 日 志 进 行 分 析 ， 可 以 发 现 攻 击 行 为 ， 进 一 步 还 原 攻 击 场 景 及 追 溯 攻 击 源 。 0 x 0 1   M S S Q L 日 志 分 析 首 先 ， M S S Q L 数 据 库 应 启 用 日 志 记 录 功 能 ， 默 认 配 置 仅 限 失 败 的 登 录 ， 需 修 改 为 失 败 和 成 功 的 登 录 ， 这 样 就 可 以 对 用 户 登 录 进 行 审 核 。 登 录 到 S Q L   S e r v e r   M a n a g e m e n t   S t u d i o ， 依 次 点 击   管 理 - - S Q L   S e r v e r   日 志
双 击 日 志 存 档 文 件 即 可 打 开 日 志 文 件 查 看 器 ， 并 可 以 对 日 志 进 行 筛 选 或 者 导 出 等 操 作 。 另 外 ， M S S Q 提 供 了 一 个 工 具 S Q L   S e r v e r   P r o f i l e r   ， 方 便 查 找 和 发 现 S Q L 执 行 的 效 率 和 语 句 问 题 。
日 志 分 析 案 例 ： 日 志 分 析 案 例 ： 在 日 志 文 件 查 看 器 中 ， 选 择 筛 选 ， 在 筛 选 设 置 中 源 设 置 为 “ 登 录 ” ， 应 用 筛 选 器 ， 确 定 。 筛 选 后 的 结 果 ， 可 以 很 清 晰 的 识 别 用 户 登 录 信 息 ， 记 录 内 容 包 括 用 户 登 录 时 间 、 登 录 是 否 成 功 、 登 录 使 用 的 账 号 以 及 远 程 登 录 时 用 户 使 用 的 I P 地 址 。 如 下 图 ： 客 户 端 ： 1 9 2 . 1 6 8 . 2 0 4 . 1 进 行 尝 试 弱 口 令 登 录 ， 并 发 现 其 中 有 一 条 登 录 成 功 的 记 录 。
0 x 0 2     S Q L 注 入 入 侵 痕 迹 在 利 用 S Q L 注 入 漏 洞 的 过 程 中 ， 我 们 会 尝 试 利 用 s q l m a p 的 - - o s - s h e l l 参 数 取 得 s h e l l ， 如 操 作 不 慎 ， 可 能 留 下 一 些 s q l m a p 创 建 的 临 时 表 和 自 定 义 函 数 。 我 们 先 来 看 一 下 s q l m a p   o s - s h e l l 参 数 的 用 法 以 及 原 理 ： 1 、 构 造 一 个 S Q L 注 入 点 ， 开 启 B u r p 监 听 8 0 8 0 端 口 H T T P 通 讯 过 程 如 下 ： 创 建 了 一 个 临 时 表 s q l m a p o u t p u t ， 调 用 存 储 过 程 执 行 系 统 命 令 将 数 据 写 入 临 时 表 ， 然 后 取 临 时 表 中 的 数 据 展 示 到 前 端 。 s q l m a p . p y     - u   h t t p : / / 1 9 2 . 1 6 8 . 2 0 4 . 1 6 4 / s q l . a s p ? i d = 1   - - o s - s h e l l   - - p r o x y = h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0
通 过 查 看 数 据 库 中 最 近 新 建 的 表 的 结 构 和 内 容 ， 可 以 判 断 是 否 发 生 过 s q l 注 入 漏 洞 攻 击 事 件 。 检 查 方 法 ： 1 、 数 据 库 表 检 查 2 、 检 查 x p _ c m d s h e l l 等 存 储 过 程 x p _ c m d s h e l l 在 m s s q l 2 0 0 5 之 后 的 版 本 中 是 默 认 禁 止 的 ， 查 看 x p _ c m d s h e l l 是 否 被 启 用 。 3 、 需 要 结 合 w e b 日 志 ， 通 过 查 看 日 志 文 件 的 大 小 以 及 审 计 日 志 文 件 中 的 内 容 ， 可 以 判 断 是 否 发 生 过 s q l 注 入 漏 洞 攻 击 事 件 。 这 是 一 个 免 费 的 小 密 圈 ， 这 里 有 很 多 跟 你 一 样 爱 好 技 术 的 小 伙 伴 ， 渴 望 分 享 ， 乐 于 交 流 ， 这 是 一 个 免 费 的 小 密 圈 ， 这 里 有 很 多 跟 你 一 样 爱 好 技 术 的 小 伙 伴 ， 渴 望 分 享 ， 乐 于 交 流 ， 诚 邀 你 一 起 加 入 分 享 知 诚 邀 你 一 起 加 入 分 享 知 识 ， 识 ， E x e c   m a s t e r . d b o . x p _ c m d s h e l l   ' w h o a m i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理