1. SQL注入流量分析概述
最近在排查一个Web应用的安全问题时，意外捕获到一次SQL注入攻击的完整流量。这个案例非常典型，攻击者使用了基于联合查询的字符型GET注入技术，正好借此机会详细分析下攻击者的手法和防御策略。
SQL注入（SQL Injection）作为OWASP Top 10长期占据榜首的Web安全漏洞，本质上是由于应用程序对用户输入未做充分过滤，导致攻击者能够注入恶意SQL语句，从而绕过认证、窃取数据甚至获取服务器控制权。这次捕获的流量中，攻击者明显是在进行自动化探测，使用了典型的布尔盲注技术。
2. 攻击流量深度解析
2.1 原始HTTP请求分析
攻击始于一个精心构造的GET请求：
GET /product.php?id=1' AND 1=CONVERT(int,(SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1))-- HTTP/1.1 Host: victim.com User-Agent: sqlmap/1.6#stable Accept: */*几个关键特征值得注意：
- 单引号闭合：通过
'提前闭合原SQL语句中的字符串 - 信息探测：直接查询information_schema获取表结构
- 工具指纹：User-Agent明显是sqlmap自动化工具
2.2 注入技术解析
攻击者使用了基于联合查询的字符型注入：
1' UNION SELECT null,username,password FROM users--这种技术的危险之处在于：
- 通过UNION合并合法查询与恶意查询
- 利用null占位匹配原查询列数
- 直接获取敏感表数据
2.3 攻击流程还原
从流量中可以还原出完整攻击链：
- 参数探测：测试哪些参数存在注入点
- 数据库指纹：通过报错信息判断数据库类型
- 结构探测：获取表名、列名
- 数据提取：批量导出敏感数据
- 权限提升：尝试执行系统命令
3. 防御方案设计与实现
3.1 输入验证策略
建议采用多层防御：
// 类型检查 $id = (int)$_GET['id']; // 正则白名单 if (!preg_match('/^[a-z0-9]+$/i', $input)) { die('Invalid input'); } // 参数化查询 $stmt = $pdo->prepare("SELECT * FROM products WHERE id = ?"); $stmt->execute([$id]);3.2 安全配置方案
web服务器应配置：
# Nginx配置示例 server { # 禁用错误详情 fastcgi_intercept_errors off; # 限制HTTP方法 if ($request_method !~ ^(GET|POST|HEAD)$ ) { return 444; } }3.3 WAF规则示例
针对SQL注入的WAF规则：
SecRule ARGS_NAMES|ARGS "\b(union\b.*?\bselect|information_schema|load_file|into\s+outfile)\b" \ "id:1001,phase:2,deny,status:403,msg:'SQLi Attempt'"4. 应急响应与取证
4.1 攻击识别指标
需要监控的异常特征：
- 异常的SQL语法错误率突增
- 同一IP短时间内大量404/500请求
- 非常规的User-Agent
- 参数中包含SQL关键字（select, union等）
4.2 日志分析技巧
使用awk快速分析日志：
# 查找可疑请求 awk '$7 ~ /[;\'\"]/ {print $1,$7}' access.log | sort | uniq -c | sort -nr # 检测扫描行为 awk '{print $1}' access.log | sort | uniq -c | sort -nr | head -204.3 数据库取证方法
检查MySQL审计日志：
-- 查看历史SQL语句 SELECT * FROM mysql.general_log WHERE argument LIKE '%union%select%' AND event_time > DATE_SUB(NOW(), INTERVAL 1 DAY);5. 加固建议与最佳实践
5.1 开发层面
- 使用ORM框架替代原生SQL
- 最小权限原则：数据库账户只赋予必要权限
- 启用预编译语句（PDO/MySQLi）
5.2 运维层面
- 定期更新数据库补丁
- 启用SQL注入防火墙
- 配置详细的访问日志
5.3 监控策略
建议部署：
- 实时SQL语法分析
- 异常请求阈值告警
- 用户行为基线分析
6. 实战经验分享
在分析这类攻击时，有几个关键点需要注意：
- 不要只关注成功的攻击请求，失败的探测尝试往往包含更多指纹信息
- 注意观察时间分布模式，自动化工具通常有固定间隔
- 检查Referer头，有些攻击会伪造合法来源
- 关注非常规参数名，攻击者常测试备用入口点
一个实用的技巧是建立正则规则库来检测各种注入模式：
patterns = [ r"[\'\"].*?(select|union|from|where).*?[\'\"]", r"\/\*!.+\*\/", r"exec\(|sp_|xp_", r"waitfor\s+delay" ]最后提醒，防御SQL注入不是单点工作，需要建立从开发到运维的完整安全闭环。每次发现注入漏洞后，都应该进行根本原因分析并改进SDL流程。
