SQL Injection 123


最近火熱的資安議題,就是大規模攻台的SQLInjection攻擊。


 


在五月初時,已可看到一些戰火;而在5/20的前後,


為攻擊的最高峰,並陸續在各大媒體披露;一直到最近才稍稍減緩。


 


以下是我的一些觀察:


1.無特定對象,且不限系統平台;只要有資料庫的網站,都是攻擊對象


2.時間多在非上班時間,如上班前早上、中午、下班後晚上、午夜凌晨


3.攻擊次數多分散在各日


4.每次(日)攻擊IP皆不同


5.語法特徵混雜16進位碼及大小寫


 


下面是一些在家中查到的攻擊語法,


大致為權限測試及惡意網址注入。


 


摘要如下(部分文字以星號取代):


 


權限測試(原碼):



權限測試(實際語法):



 


惡意網址注入(原碼):



惡意網址注入(實際語法):



 


就語法來說,十分精簡,且不易攔截。


 


<<後語>>


SQLInjection攻擊雖然多指向網頁程式問題,


但個人認為,資料庫權限及語法、網站漏洞修補、作業系統權限及漏洞修補等,


也一樣重要。


 


只是這些工作,都非一人所能完成,


且環環相扣,因此也不容易面面俱到。


 


以下是一些個人覺得很有幫助的說明:


 


SQLInjection(資料隱碼)-駭客的SQL填空遊戲(恆逸資訊胡百敬)


http://www.microsoft.com/taiwan/sql/sql_injection_G1.htm


 


LINQ-對付SQLInjection的”免費補洞策略”(微軟技術顧問黃忠成)


http://www.microsoft.com/taiwan/msdn/columns/huang_jhong_cheng/LVSS.htm


 


老掉牙的SQLInjection卻造成你的網站在裸奔(網路攻防戰OpenBlue)


http://anti-hacker.blogspot.com/2008/06/sql-injection.html

Leave a Reply

Your email address will not be published. Required fields are marked *