有人入侵了我的数据库

问：

有人入侵了我的数据库并删除了该表。

在我的PHP页面中，有一个查询，我使用mysql_real_escape_string：

$db_host="sql2.netsons.com";
$db_name="xxx";
$username="xxx";
$password="xxx";    

$db_con=mysql_connect($db_host,$username,$password);    

$connection_string=mysql_select_db($db_name);
mysql_connect($db_host,$username,$password);    
mysql_set_charset('utf8',$db_con); 

$email= mysql_real_escape_string($_POST['email']);
$name= mysql_real_escape_string($_POST['name']);
$sex= mysql_real_escape_string($_POST['sex']);    

if($_POST['M']!=""){  $sim = 1;  }else {  $sim = 0;   }

$query = "INSERT INTO `users` (`email`, `name`, `sex`, `M`) VALUES
( '".$email."', '".ucwords(strtolower($name))."', '".$sex."','".$sim."')";    

$res = mysql_query($query) or die("Query fail: " . mysql_error() );

mysql_close($db_con);

并且被禁用。register_globals

那么，我的数据库是如何被黑客入侵的呢？

php mysql sql 注入

当您安装MySQL服务器时，远程访问，即从运行MySQL守护程序的服务器以外的计算机登录，将被禁用;这意味着您必须明确允许它。因此，即使人们拥有MySQL用户名/密码，他们也无法利用它并登录，除非他们能够在远程机器上执行代码;在这种情况下，无论如何，整个服务器的安全性都会完全受到损害......MySQL、FTP和SSH的重用密码是完全不同的，虽然问题非常迫在眉睫，但它与MySQL本身的安全性无关。

1赞 ajreal 11/22/2010

至少对于 linux 盒子来说，这不是真的，而是由特权控制的。

2赞 cyber-guard 11/22/2010 #3

您的数据库遭到入侵并不意味着存在 sql 注入。如果需要，可以共享访问日志，该日志应提供足够的线索，说明攻击者的进入位置。我的猜测是本地文件包含，他包含配置文件，或者可能是某种代码执行漏洞。如果没有更多信息，它只是猜测，它也可能是很好的社会工程工作，或者网络钓鱼攻击......

那么恐怕入侵者很有可能删除了日志，所以现在有办法找出来......您可能仍想联系您的托管服务提供商并请求日志，通常他们会保留客户端也无法访问的副本。鉴于攻击者可能具有写入访问权限，我会检查网站是否有任何可能留下的后门、php shell 等。

6赞 Paul Dixon 11/22/2010 #4

看起来您粘贴的代码没有提供合适的攻击。我对此进行调查的方法是扫描MySQL二进制日志中的相关DROP TABLE语句，以给我一个时间戳。然后，您可以使用该时间戳来查找可以与之关联的 Apache 请求。

然后，只需仔细审核每个候选请求中的代码，直到您确定它:(

66赞 ajreal 11/22/2010 #5

mysql_real_escape_string

MySQL 连接。如果未指定链接标识符，则假定 mysql_connect（）打开的最后一个链接。如果没有找到这样的链接，它将尝试创建一个链接，就好像调用了 mysql_connect（）而不带参数一样。如果未找到或未建立连接，则会生成E_WARNING级错误。

正如这里解释的那样：mysql_real_escape_string（）是否完全防止SQL注入？

根据代码片段，您已经连接了两次数据库。

$db_con=mysql_connect($db_host,$username,$password);    

$connection_string=mysql_select_db($db_name);
mysql_connect($db_host,$username,$password);    
mysql_set_charset('utf8',$db_con);

并且您没有提供以下数据库链接标识符：

$email= mysql_real_escape_string($_POST['email']);
$name= mysql_real_escape_string($_POST['name']);
$sex= mysql_real_escape_string($_POST['sex']);

因此，mysql_set_charset对为多字节字符提供的实际转义没有影响。$_POST

建议

删除第二个mysql_connect($db_host,$username,$password);
在执行时显式添加$db_conmysql_real_escape_string

有人入侵了我的数据库 - 如何？

Someone has hacked my database - how?

评论

评论

评论

评论