Fant forsøk på hacking i DB

[Anzure]

Tidlig 24. desember ble det opprettet rader i en database-tabellen:

'2019-12-24 08:28:38', 'bmV0YS5uby8{${print(238947899389478923-34567343546345)}}'
'2019-12-24 08:28:38', 'print(238947899389478923-34567343546345);'
'2019-12-24 08:28:38', 'bmV0YS5uby8<?=print(238947899389478923-34567343546345);?>'
'2019-12-24 08:28:38', 'bmV0YS5uby8\'<?php print(238947899389478923-34567343546345); ?>\''
'2019-12-24 08:28:41', 'bmV0YS5uby8\"<?php print(238947899389478923-34567343546345); ?>\"'
'2019-12-24 08:28:45', 'bmV0YS5uby8\'{${print(238947899389478923-34567343546345)}}\''
'2019-12-24 08:28:48', 'bmV0YS5uby8\"{${print(238947899389478923-34567343546345)}}\"'
'2019-12-24 08:28:48', 'bmV0YS5uby8\'];print(238947899389478923-34567343546345);//'
'2019-12-24 08:28:48', 'bmV0YS5uby8\"];print(238947899389478923-34567343546345);//'
'2019-12-24 08:28:51', 'bmV0YS5uby8\');print(238947899389478923-34567343546345);//'
'2019-12-24 08:28:51', 'bmV0YS5uby8\");print(238947899389478923-34567343546345);//'
'2019-12-24 08:28:52', 'bmV0YS5uby8}print(238947899389478923-34567343546345);{'

 

Jeg bruker PreparedStatement for å utføre MySQL kommandoer, dette bør være tilstrekkelig for å hindre SQL-injection angrep.

Ser dette ikke er et SQL-angrep. Virker som denne hacking-boten forsøker å teste etter feil i forskjellige typer backend.

Er det noen her som har en god forklaring på dette angrepet, og hvordan det bør hindres på en best mulig måte? 

[0laf]

Dette er trolig ikke et målrettet angrep, men et automatisert angrep som ser etter sårbarheter på mange nettsider, så du er ikke nødvendigvis målet her.

Det testes etter feil i PHP, hvor utvikleren har brukt "eval()" (som er Evil) feil noe sted, derav PHP-taggene og print, og som ville tillate kjøring av strenger uten validering.

Tallene er ingenting annet enn et regnestykke, det kunne like gjerne vært "3-1", og dersom resultatet "2" printes ut, så evalueres strengen, og du er sårbar for "injection", trolig både av kommandoer og kode.

Det ser ikke ut til å være et angrep på databasen, men Prepared Statements bør være nok til å motvirke et slikt angrep, med mindre du har gjort andre feil i koden.

At dette har havnet som strenger i databasen tyder på at det ikke har vært noe problem, men det tyder også på at du har input fra et eller annet sted som du ikke validerer godt nok, hvor PHP-tagger og annet kommer med, dog "escaped".

Ting som navn, adresser, e-post og den slags inneholder ikke PHP-tagger, brackets, curly-braces osv. og bør vaskes.

Endret 29. desember 2019 av 0laf