Jemand hat meine Datenbank gehackt – wie?

Jemand hat meine Datenbank gehackt und die Tabelle gelöscht.

Auf meiner PHP-Seite gibt es eine einzige Abfrage, bei der ich mysql_real_escape_string verwende:

$db_host="sql2.netsons.com";
$db_name="xxx";
$username="xxx";
$password="xxx";    

$db_con=mysql_connect($db_host,$username,$password);    

$connection_string=mysql_select_db($db_name);
mysql_connect($db_host,$username,$password);    
mysql_set_charset('utf8',$db_con); 

$email= mysql_real_escape_string($_POST['email']);
$name= mysql_real_escape_string($_POST['name']);
$sex= mysql_real_escape_string($_POST['sex']);    

if($_POST['M']!=""){  $sim = 1;  }else {  $sim = 0;   }

$query = "INSERT INTO `users` (`email`, `name`, `sex`, `M`) VALUES
( '".$email."', '".ucwords(strtolower($name))."', '".$sex."','".$sim."')";    

$res = mysql_query($query) or die("Query fail: " . mysql_error() );

mysql_close($db_con);

Und register_globals ist deaktiviert.

Also, wie wurde meine Datenbank gehackt?

mysql_real_escape_string

Die MySQL-Verbindung. Wenn die Link-ID nicht angegeben wird, wird der letzte von mysql_connect() geöffnete Link angenommen. Wenn kein solcher Link gefunden wird, wird versucht, einen zu erstellen, als ob mysql_connect() ohne Argumente aufgerufen worden wäre. Wenn keine Verbindung gefunden oder hergestellt wird, wird ein Fehler der Stufe E_WARNING generiert.

Wie hier erklärt: Schützt mysql_real_escape_string() VOLLSTÄNDIG vor SQL-Injection?

Basierend auf Ihrem Code-Snippet haben Sie die Datenbank zweimal verbunden.

$db_con=mysql_connect($db_host,$username,$password);    

$connection_string=mysql_select_db($db_name);
mysql_connect($db_host,$username,$password);    
mysql_set_charset('utf8',$db_con); 

Und Sie haben die Datenbank-Link-ID nicht angegeben für:

$email= mysql_real_escape_string($_POST['email']);
$name= mysql_real_escape_string($_POST['name']);
$sex= mysql_real_escape_string($_POST['sex']); 

Daher hat mysql_set_charset keine Auswirkung auf das bereitgestellte echte Escape$_POST für Multibyte-Zeichen.

Anregung

• den zweiten entfernen mysql_connect($db_host,$username,$password);
• explizit hinzufügen $db_con beim tun mysql_real_escape_string

Es sieht nicht so aus, als ob der von Ihnen eingefügte Code einen geeigneten Angriff bietet. Ich würde dies untersuchen, indem ich die MySQL-Binärprotokolle nach der relevanten DROP TABLE-Anweisung scanne, um mir einen Zeitstempel zu geben. Dann können Sie diesen Zeitstempel verwenden, um nach Apache-Anforderungen zu suchen, die Sie damit korrelieren können.

Dann geht es nur noch darum, den Code in jeder Kandidatenanfrage sorgfältig zu prüfen, bis Sie es geschafft haben 🙁

Vielleicht haben Sie einen MySQL-Benutzer mit einem schwachen Passwort. Ich würde alle Passwörter ändern und prüfen, wer berechtigt ist, sich mit der MySQL-Datenbank zu verbinden. Sperren Sie Ihre Firewall, sodass nur benötigte Ports geöffnet werden (80.443?)

Hier sind einige Artikel über das Sperren Ihres PHP-Codes
http://www.addedbytes.com/writing-secure-php/

Mit freundlichen Grüßen. Asbjörn Morell

Die Tatsache, dass Ihre Datenbank kompromittiert wurde, bedeutet nicht, dass es eine SQL-Injektion gab. Wenn Sie möchten, können Sie das Zugriffsprotokoll freigeben, das genügend Hinweise darauf geben sollte, wo der Angreifer eingedrungen ist. Meine Vermutung wäre die lokale Dateieinbindung, wo er die Konfigurationsdatei eingebunden hat, oder vielleicht eine Art Schwachstelle bei der Codeausführung. Ohne weitere Informationen ist es jedoch nur eine Vermutung, es könnte genauso gut ein guter Social-Engineering-Job oder ein Phishing-Angriff gewesen sein …

Auf den ersten Blick haben Sie keine Öffnungen für einen SQL-Injection-Angriff gelassen. Ist dieser Codeauszug definitiv derjenige, in dem das Eindringen stattfindet?

Das einzige, was ich finden kann, ist diese mehrdeutige Ankündigung eines Hosting-Providers zu ucwords: http://2by2host.com/articles/php-errors-faq/disabled_ucwords/

G

Ich denke, dies geschieht über die PHP-Shell (Hintertür). Ist das ein Sharing-Host? Überprüfen Sie in diesem Fall, ob andere Websites auf demselben Server ebenfalls angegriffen werden oder nicht. Auf diese Weise können Sie feststellen, ob der Angreifer aus Ihrer Nachbarschaft auf Ihre Website gelangt. Um Websites auf Ihrem Server anzuzeigen, benötigen Sie einen umgekehrten IP-Scan.