用腳本類(lèi)IDS抵御WEB攻擊
IDS即入侵檢測(cè)系統(tǒng)，專(zhuān)業(yè)上講就是依照一定的安全策略，通過(guò)軟、硬件，對(duì)網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機(jī)密性、完整性和可用性。 傳統(tǒng)的IDS是一個(gè)監(jiān)聽(tīng)設(shè)備，這個(gè)設(shè)備通過(guò)網(wǎng)絡(luò)鏈路掛接在服務(wù)器和客戶(hù)端所有流量都必須流經(jīng)的鏈路上，IDS就是通過(guò)特有IDS規(guī)則匹配黑客惡意攻擊入侵行為的流量，進(jìn)行即時(shí)的監(jiān)測(cè)和報(bào)警。
在歷年來(lái)開(kāi)源的Web程序中，被披露最多最嚴(yán)重的安全漏洞一直是SQL注射，為了減少SQL注射漏洞對(duì)各大網(wǎng)站造成的安全威脅，web安全研究組織80SEC在2008年編寫(xiě)了國(guó)內(nèi)第一個(gè)腳本類(lèi)IDS - MysqlIds，使用MysqlIds可以更好的、更有效率的幫助網(wǎng)站管理員和程序員抵御和檢測(cè)Sql注射漏洞。
現(xiàn)在流行的技術(shù)大部分是旁路監(jiān)聽(tīng)，一般不會(huì)因?yàn)镮DS的性能影響網(wǎng)站正常的訪(fǎng)問(wèn)流量，而Mysqlids也是按照類(lèi)似的思路同樣不會(huì)影響程序的性能。Mysqlids存在于應(yīng)用程序和數(shù)據(jù)庫(kù)操作之間的一個(gè)環(huán)節(jié)，完全以數(shù)據(jù)庫(kù)的語(yǔ)法來(lái)分析執(zhí)行的SQL語(yǔ)句，而不是采用傳統(tǒng)的關(guān)鍵字檢測(cè)的方法，對(duì)于一些非正常的SQL語(yǔ)句能進(jìn)行阻止并且記錄相關(guān)的信息，這樣就可以很快地定位程序中存在注射漏洞的地方，為漏洞的及時(shí)修復(fù)提供必要的信息。
MysqlIds是由PHP編寫(xiě)的，通過(guò)一個(gè)封裝的安全函數(shù)，監(jiān)測(cè)程序中運(yùn)行的SQL查詢(xún)語(yǔ)句，針對(duì)黑客經(jīng)常使用的union查詢(xún)、select子查詢(xún)、不常用的SQL注釋符、文件操作和benchmark等危險(xiǎn)函數(shù)行為進(jìn)行報(bào)警，這個(gè)IDS是無(wú)縫封裝在程序里的數(shù)據(jù)庫(kù)操作流程里的，也就是黑客通過(guò)程序漏洞進(jìn)行惡意的SQL注射都能被非常詳細(xì)的監(jiān)測(cè)到，程序員或者網(wǎng)站站長(zhǎng)甚至能使用IDS發(fā)現(xiàn)自己網(wǎng)站程序中未被察覺(jué)的0DAY漏洞。下面我就分析MysqlIds的部分代碼，使大家可以從原理上更容易的理解MysqlIds，我們看看MysqlIds如何監(jiān)測(cè)黑客SQL注入經(jīng)常使用的惡意的聯(lián)合查詢(xún)。部分代碼如下：
- Code highlighting produced by Actipro CodeHighlighter （freeware）
- -->if （strpos（$clean, 'union'） !== false && preg_match（'~（^[^a-z]）union（$ [^[a-z]）~s', $clean） != 0）{
- $fail = true;
- $error="union detect";
- }
MysqlIds使用了PHP中strpos函數(shù)來(lái)判斷程序執(zhí)行的SQL語(yǔ)句是否存在惡意的SQL注射，這個(gè)函數(shù)可以高效率的查找指定字符串返回一個(gè)布爾值，當(dāng)程序執(zhí)行SQL語(yǔ)句中使用聯(lián)合查詢(xún)，規(guī)則條件就開(kāi)始生效，啟用preg_match函數(shù)調(diào)用IDS規(guī)則來(lái)匹配惡意的聯(lián)合查詢(xún)語(yǔ)句，這個(gè)IDS規(guī)則是精心構(gòu)造的正則表達(dá)式，類(lèi)似于大家使用的傳統(tǒng)IDS規(guī)則，由于MysqlIds是在程序的數(shù)據(jù)庫(kù)操作層來(lái)檢測(cè)，所有能抓取到有效且實(shí)實(shí)在在的安全問(wèn)題，且更有效更具有針對(duì)性。MysqlIds還針對(duì)程序運(yùn)行的SQL語(yǔ)句出現(xiàn)的異常情況進(jìn)行了監(jiān)控，如SQL語(yǔ)句中出現(xiàn)異常的注釋符，一般黑客進(jìn)行SQL注射攻擊，很多情況下需要注釋符完成SQL注射攻擊的SQL語(yǔ)句，同時(shí)黑客還有可能使用一些比較危險(xiǎn)的MYSQL函數(shù)和功能，如sleep、benchmark、load_file和into outfile功能等，這些黑客在程序中使用SQL注射的惡意動(dòng)作都能被MysqlIds監(jiān)測(cè)到?！ysqlIds與傳統(tǒng)Web安全防御措施的區(qū)別
傳統(tǒng)的Web安全防御措施都非常滯后，在Web程序里未知的漏洞被攻擊的情況下，管理員往往要排查很多東西才能找到問(wèn)題的關(guān)鍵點(diǎn)，有的時(shí)候可能是使用的程序中存在一個(gè)未知的SQL注射漏洞被黑客利用，卻無(wú)法確定黑客是如何攻擊，而導(dǎo)致整個(gè)網(wǎng)站一而再，再而三的淪陷。合理地部署Mysqlids后，就可以幫助管理員第一時(shí)間準(zhǔn)確的定位網(wǎng)站的Web程序漏洞，關(guān)鍵在于MysqlIds核心的日志功能，它能準(zhǔn)確的將每次精確匹配報(bào)警后的信息存入日志，代碼如下：
- Code highlighting produced by Actipro CodeHighlighter （freeware）
- -->if （！empty（$fail））
- {
- fputs（fopen（$log_file,'a+'），"<?php die（）；?>$db_string$error\r\n"）；
- die（"Hacking Detect<br><a href=http://www.80sec.com />http://www.80sec.com"）；
- }
- else {
- return $db_string;
- }
- }
當(dāng)程序的SQL語(yǔ)句被監(jiān)測(cè)到惡意行為后，會(huì)打開(kāi)相應(yīng)條件語(yǔ)句里的fail開(kāi)關(guān)，也就是觸發(fā)監(jiān)測(cè)后根據(jù)信息會(huì)留下一條精確的日志信息。管理員排查日志就能精確定位程序中的SQL注射漏洞。
MysqlIds暫時(shí)只支持PHP+MYSQL架構(gòu)的Web程序，作為開(kāi)源程序和其原理的靈活性，大家可以很方便將MysqlIds和自己程序無(wú)縫結(jié)合。比如國(guó)內(nèi)站長(zhǎng)采用比較廣泛的一款PHP建站程序DeDecms，在DeDecms歷史版本中被披露過(guò)很多安全問(wèn)題，其中SQL注射是其安全問(wèn)題中危害最大也最多的問(wèn)題。為了解決SQL注射問(wèn)題，DedeCms在其發(fā)布的最新版中的數(shù)據(jù)庫(kù)類(lèi)中封裝了80sec的Mysqlids，以用來(lái)抵御和檢測(cè)Sql注射漏洞。我們可以參考DeDecms的MYSQL數(shù)據(jù)庫(kù)類(lèi)，將MysqlIds部署在程序中：
- \include\dedesql.class.php
DeDecms的MYSQL數(shù)據(jù)庫(kù)類(lèi)161行的ExecuteNoneQuery函數(shù)封裝了MysqlIds，程序運(yùn)行的SQL語(yǔ)句在進(jìn)入MYSQL查詢(xún)之前都會(huì)使用MysqlIds的CheckSql函數(shù)處理。
- Code highlighting produced by Actipro CodeHighlighter （freeware）
- -->if（$this->safeCheck） CheckSql（$this->queryString,'update'）；
- return mysql_query（$this->queryString,$this->linkID）；
腳本類(lèi)IDS展望
腳本類(lèi)IDS作為一種花銷(xiāo)很小當(dāng)最有效的安全措施值得大力推廣，近年來(lái)大家對(duì)安全越來(lái)越重視，Web程序的開(kāi)發(fā)也越來(lái)越多的考慮程序的安全性，也許以后的WEB程序在開(kāi)發(fā)之初就會(huì)將這類(lèi)腳本IDS的概念設(shè)計(jì)在自己的程序中，那么大家只需要打開(kāi)程序中的一個(gè)設(shè)置開(kāi)關(guān)就能被實(shí)時(shí)保護(hù)，并能最準(zhǔn)確的定位安全問(wèn)題。目前MysqlIds在80SEC的官方網(wǎng)站上仍然是1.0版，希望他們以后能提供功能更強(qiáng)大腳本IDS.
【編輯推薦】
