建站
咨詢
售后
建站咨詢
新聞中心
在Web安全領域中，針對web漏洞發(fā)起的SQL注射攻擊是最為常見的，為了減少SQL注入漏洞對各大企業(yè)及網(wǎng)站的影響，我們可以使用MysqlIDS這種腳本類的IDS做出更快更有效的防御。
現(xiàn)在流行的技術(shù)大部分是旁路監(jiān)聽，一般不會因為IDS的性能影響網(wǎng)站正常的訪問流量，而使用MysqlIDS也是按照類似的思路同樣不會影響程序的性能。MysqlIDS存在于應用程序和數(shù)據(jù)庫操作之間的一個環(huán)節(jié)，完全以數(shù)據(jù)庫的語法來分析執(zhí)行的SQL語句，而不是采用傳統(tǒng)的關鍵字檢測的方法，對于一些非正常的SQL語句能進行阻止并且記錄相關的信息，這樣就可以很快地定位程序中存在注射漏洞的地方，為漏洞的及時修復提供必要的信息。
使用MysqlIDS原理
MysqlIDS是由PHP編寫的，通過一個封裝的安全函數(shù)，監(jiān)測程序中運行的SQL查詢語句，針對黑客經(jīng)常使用的union查詢、select子查詢、不常用的SQL注釋符、文件操作和benchmark等危險函數(shù)行為進行報警，這個IDS是無縫封裝在程序里的數(shù)據(jù)庫操作流程里的，也就是黑客通過程序漏洞進行惡意的SQL注射都能被非常詳細的監(jiān)測到，程序員或者網(wǎng)站站長甚至能使用IDS發(fā)現(xiàn)自己網(wǎng)站程序中未被察覺的0DAY漏洞。下面我就分析MysqlIDS的部分代碼，使大家可以從原理上更容易的理解MysqlIDS，我們看看MysqlIDS如何監(jiān)測黑客SQL注入經(jīng)常使用的惡意的聯(lián)合查詢。部分代碼如下：
if (strpos($clean, 'union') !== false && preg_match('~(^|[^a-z])union($|[^[a-z])~s', $clean) != 0){
$fail = true;
$error="union detect";
}
MysqlIDS使用了PHP中strpos函數(shù)來判斷程序執(zhí)行的SQL語句是否存在惡意的SQL注射，這個函數(shù)可以高效率的查找指定字符串返回一個布爾值，當程序執(zhí)行SQL語句中使用聯(lián)合查詢，規(guī)則條件就開始生效，啟用preg_match函數(shù)調(diào)用IDS規(guī)則來匹配惡意的聯(lián)合查詢語句，這個IDS規(guī)則是精心構(gòu)造的正則表達式，類似于大家使用的傳統(tǒng)IDS規(guī)則，由于MysqlIDS是在程序的數(shù)據(jù)庫操作層來檢測，所有能抓取到有效且實實在在的安全問題，且更有效更具有針對性。MysqlIDS還針對程序運行的SQL語句出現(xiàn)的異常情況進行了監(jiān)控，如SQL語句中出現(xiàn)異常的注釋符，一般黑客進行SQL注射攻擊，很多情況下需要注釋符完成SQL注射攻擊的SQL語句，同時黑客還有可能使用一些比較危險的MYSQL函數(shù)和功能，如sleep、benchmark、load_file和into outfile功能等，這些黑客在程序中使用SQL注射的惡意動作都能被MysqlIDS監(jiān)測到。
使用MysqlIDS與使用傳統(tǒng)Web安全防御措施的區(qū)別
傳統(tǒng)的Web安全防御措施都非常滯后，在Web程序里未知的漏洞被攻擊的情況下，管理員往往要排查很多東西才能找到問題的關鍵點，有的時候可能是使用的程序中存在一個未知的SQL注射漏洞被黑客利用，卻無法確定黑客是如何攻擊，而導致整個網(wǎng)站一而再，再而三的淪陷。合理地部署MysqlIDS后，就可以幫助管理員第一時間準確的定位網(wǎng)站的Web程序漏洞，關鍵在于MysqlIDS核心的日志功能，它能準確的將每次精確匹配報警后的信息存入日志，代碼如下：
if (!empty($fail))
{
fputs(fopen($log_file,'a+'),"||$db_string||$errorrn");
die("Hacking Detect
[url]http://www.80sec.com[/url]");
}
else {
return $db_string;
}
}
當程序的SQL語句被監(jiān)測到惡意行為后，會打開相應條件語句里的fail開關，也就是觸發(fā)監(jiān)測后根據(jù)信息會留下一條精確的日志信息。管理員排查日志就能精確定位程序中的SQL注射漏洞。
如何部署MysqlIDS
可以使用MysqlIDS的Web程序暫時只支持PHP+MYSQL架構(gòu)，作為開源程序和其原理的靈活性，大家可以很方便將MysqlIDS和自己程序無縫結(jié)合。比如國內(nèi)站長采用比較廣泛的一款PHP建站程序DeDecms，在DeDecms歷史版本中被披露過很多安全問題，其中SQL注射是其安全問題中危害最大也最多的問題。為了解決SQL注射問題，DedeCms在其發(fā)布的最新版中的數(shù)據(jù)庫類中封裝了80sec的MysqlIDS，以用來抵御和檢測Sql注射漏洞。我們可以參考DeDecms的MYSQL數(shù)據(jù)庫類，將MysqlIDS部署在程序中：
includededesql.class.php
DeDecms的MYSQL數(shù)據(jù)庫類161行的ExecuteNoneQuery函數(shù)封裝了MysqlIDS，程序運行的SQL語句在進入MYSQL查詢之前都會使用MysqlIDS的CheckSql函數(shù)處理。
if($this->safeCheck) CheckSql($this->queryString,'update');
return mysql_query($this->queryString,$this->linkID);
文章標題：如何使用MysqlIDS抵御針對WEB的攻擊
轉(zhuǎn)載源于：http://m.5511xx.com/article/djphshp.html
