如何使用MysqlIDS抵御针对WEB的攻击

安全
在历年来开源的Web程序中,被披露最多最严重的安全漏洞一直是SQL注射,使用MysqlIDS可以更好的、更有效率的帮助网站管理员和程序员抵御和检测SQL注射漏洞。

在Web安全领域中,针对web漏洞发起的SQL注射攻击是最为常见的,为了减少SQL注入漏洞对各大企业及网站的影响,我们可以使用MysqlIDS这种脚本类的IDS做出更快更有效的防御。

现在流行的技术大部分是旁路监听,一般不会因为IDS的性能影响网站正常的访问流量,而使用MysqlIDS也是按照类似的思路同样不会影响程序的性能。MysqlIDS存在于应用程序和数据库操作之间的一个环节,完全以数据库的语法来分析执行的SQL语句,而不是采用传统的关键字检测的方法,对于一些非正常的SQL语句能进行阻止并且记录相关的信息,这样就可以很快地定位程序中存在注射漏洞的地方,为漏洞的及时修复提供必要的信息。

使用MysqlIDS原理

MysqlIDS是由PHP编写的,通过一个封装的安全函数,监测程序中运行的SQL查询语句,针对黑客经常使用的union查询、select子查询、不常用的SQL注释符、文件操作和benchmark等危险函数行为进行报警,这个IDS是无缝封装在程序里的数据库操作流程里的,也就是黑客通过程序漏洞进行恶意的SQL注射都能被非常详细的监测到,程序员或者网站站长甚至能使用IDS发现自己网站程序中未被察觉的0DAY漏洞。下面我就分析MysqlIDS的部分代码,使大家可以从原理上更容易的理解MysqlIDS,我们看看MysqlIDS如何监测黑客SQL注入经常使用的恶意的联合查询。部分代码如下:

if (strpos($clean, 'union') !== false && preg_match('~(^|[^a-z])union($|[^[a-z])~s', $clean) != 0){

$fail = true;

$error="union detect";

}

MysqlIDS使用了PHP中strpos函数来判断程序执行的SQL语句是否存在恶意的SQL注射,这个函数可以高效率的查找指定字符串返回一个布尔值,当程序执行SQL语句中使用联合查询,规则条件就开始生效,启用preg_match函数调用IDS规则来匹配恶意的联合查询语句,这个IDS规则是精心构造的正则表达式,类似于大家使用的传统IDS规则,由于MysqlIDS是在程序的数据库操作层来检测,所有能抓取到有效且实实在在的安全问题,且更有效更具有针对性。MysqlIDS还针对程序运行的SQL语句出现的异常情况进行了监控,如SQL语句中出现异常的注释符,一般黑客进行SQL注射攻击,很多情况下需要注释符完成SQL注射攻击的SQL语句,同时黑客还有可能使用一些比较危险的MYSQL函数和功能,如sleep、benchmark、load_file和into outfile功能等,这些黑客在程序中使用SQL注射的恶意动作都能被MysqlIDS监测到。

使用MysqlIDS与使用传统Web安全防御措施的区别

传统的Web安全防御措施都非常滞后,在Web程序里未知的漏洞被攻击的情况下,管理员往往要排查很多东西才能找到问题的关键点,有的时候可能是使用的程序中存在一个未知的SQL注射漏洞被黑客利用,却无法确定黑客是如何攻击,而导致整个网站一而再,再而三的沦陷。合理地部署MysqlIDS后,就可以帮助管理员第一时间准确的定位网站的Web程序漏洞,关键在于MysqlIDS核心的日志功能,它能准确的将每次精确匹配报警后的信息存入日志,代码如下:

if (!empty($fail))

{

fputs(fopen($log_file,'a+'),"||$db_string||$errorrn");

die("Hacking Detect

[url]http://www.80sec.com[/url]");

}

else {

return $db_string;

}

}

当程序的SQL语句被监测到恶意行为后,会打开相应条件语句里的fail开关,也就是触发监测后根据信息会留下一条精确的日志信息。管理员排查日志就能精确定位程序中的SQL注射漏洞。

如何部署MysqlIDS

可以使用MysqlIDS的Web程序暂时只支持PHP+MYSQL架构,作为开源程序和其原理的灵活性,大家可以很方便将MysqlIDS和自己程序无缝结合。比如国内站长采用比较广泛的一款PHP建站程序DeDecms,在DeDecms历史版本中被披露过很多安全问题,其中SQL注射是其安全问题中危害最大也最多的问题。为了解决SQL注射问题,DedeCms在其发布的最新版中的数据库类中封装了80sec的MysqlIDS,以用来抵御和检测Sql注射漏洞。我们可以参考DeDecms的MYSQL数据库类,将MysqlIDS部署在程序中:

includededesql.class.php

DeDecms的MYSQL数据库类161行的ExecuteNoneQuery函数封装了MysqlIDS,程序运行的SQL语句在进入MYSQL查询之前都会使用MysqlIDS的CheckSql函数处理。

if($this->safeCheck) CheckSql($this->queryString,'update');

return mysql_query($this->queryString,$this->linkID);
 

【编辑推荐】

  1. 如何构建入门级IDS
  2. IDS漏洞分析与黑客入侵手法
  3. 测试评估IDS的性能指标
  4. 正确评估IDS性能的标准与步骤
  5. 企业测试IDS的四条重要标准

 

责任编辑:张启峰 来源: 安全在线
相关推荐

2015-01-08 09:20:16

2020-03-31 09:09:48

Web安全网络攻击DDOS

2011-03-07 15:06:38

2010-09-17 11:04:00

2017-01-17 16:21:41

2022-07-28 16:50:54

安全DevOpsAPI

2019-02-15 15:24:07

2012-05-24 09:52:10

2010-02-25 21:28:04

2023-08-31 14:35:02

2018-06-10 15:30:36

2017-02-08 17:10:32

2019-11-22 16:48:09

网络安全电子商务脚本语言

2023-03-24 10:32:31

2013-07-31 15:21:04

2013-03-11 09:13:07

2013-02-26 10:08:21

2020-06-27 17:24:49

安全网络攻击黑客

2012-08-17 09:25:59

2023-03-24 12:14:42

点赞
收藏

51CTO技术栈公众号