# SQL 注入攻击日志摘录（对应攻防演练报告）

> 来源日志包：`问题整改/日志.rar`  
> 对照报告：`问题整改/杭州第一技师学院智慧校园系统存在SQL注入漏洞（补充成果）.docx`  
> 整理日期：2026-09-17  

---

## 1. 结论

在客户提供的 `日志.rar` 中，**已定位到与 Word 报告完全吻合的 SQL 注入攻击痕迹**。

核心对应关系：

| Word 报告描述 | 日志证据 |
|---------------|----------|
| 入口 `POST /prod-api/auth/register` | 大量 `请求地址'/auth/register',发生未知异常` |
| `tenantId` 注入进 SQL | `sys_config ... AND tenant_id = '000000' AND extractvalue(...)` |
| 报错型注入 `extractvalue` / XPATH | `java.sql.SQLException: XPATH syntax error: '~...'` |
| 落点 `SysConfigMapper` | `The error may exist in org/dromara/system/mapper/SysConfigMapper.java` |
| 泄露 `root@172.16.0.68` | `XPATH syntax error: '~root@172.16.0.68'`（约 200 次） |
| 查注册开关触发 | 参数 `sys.account.registerUser` |
| 拖库用户/配置 | 报错片段中出现表字段、时间戳、BCrypt 哈希分片等 |

**主证据文件（推荐引用）：**

- `日志/ruoyi-admin-68-9901.log`（节点 68，体量最大、攻击痕迹最完整）  
- 同内容副本：`日志/68/ruoyi-admin-68-9901.log`  

---

## 2. 日志包结构说明

`日志.rar` 解压后主要包含双机节点日志：

| 目录 | 说明 |
|------|------|
| `日志/67/` | 节点 67 应用/系统日志 |
| `日志/68/` | 节点 68 应用/系统日志 |
| `日志/*.log` | 根目录另有一份拷贝（与 67/68 有重叠） |

攻击相关命中主要集中在 **68 节点** 的 `ruoyi-admin-68-9901.log`。

---

## 3. 攻击时间线（基于主日志）

主日志：`ruoyi-admin-68-9901.log`

| 统计项 | 数值 |
|--------|------|
| `XPATH syntax error` | **42230** 次 |
| `extractvalue` | **16726** 次 |
| `/auth/register` 异常 | **8644** 次 |
| `SysConfigMapper` | **8540** 次 |
| `root@172.16.0.68` 泄露 | **200** 次 |
| 参数 `sys.account.registerUser` | **8747** 次 |
| 首次 XPATH 关联时间 | **2026-09-16 10:43:25** |
| 末次 XPATH 关联时间 | **2026-09-16 23:36:48** |

按小时分布（XPATH 相关）：

| 时段 | 相对强度 |
|------|----------|
| 10 时 | 少量探测 |
| 14 时 | 明确命中（含 `root@`、版本探测） |
| **15 时** | **高峰（约 3.1 万行级）** |
| 16 时 | 仍高强度 |
| 17 / 21 / 22 / 23 时 | 持续/回扫 |

与报告截图高度吻合的关键时刻示例：

- **2026-09-16 14:49:32**：`/auth/register` + `extractvalue(SELECT version())` → `~5.7.39-log`
- **2026-09-16 14:50:08**：`/auth/register` + `extractvalue(SELECT user())` → `~root@172.16.0.68`

---

## 4. 关键证据摘录（与报告逐条对应）

### 4.1 攻击入口：注册接口

```text
请求地址'/auth/register',发生未知异常.
```

（同秒内连续多次，符合自动化注入工具特征）

### 4.2 注入点：tenant_id 拼进 sys_config 查询

```text
==>  Preparing: SELECT config_id, config_name, config_key, config_value, ...
     FROM sys_config
     WHERE (config_key = ?)
       AND tenant_id = '000000' AND extractvalue(1,concat(0x7e,(SELECT user()))) AND '1'='1'
==> Parameters: sys.account.registerUser(String)
```

说明：注册流程先查“是否开启注册”，恶意 `tenantId` 被多租户插件拼进 SQL，从而触发注入。

### 4.3 报错栈落点：SysConfigMapper

```text
### The error may exist in org/dromara/system/mapper/SysConfigMapper.java (best guess)
### Cause: java.sql.SQLException: XPATH syntax error: '~root@172.16.0.68'
```

### 4.4 与报告完全一致的库账号泄露

```text
java.sql.SQLException: XPATH syntax error: '~root@172.16.0.68'
```

### 4.5 信息探测与拖数痕迹（报错回显）

XPATH 回显片段（日志统计 Top）可见攻击者在逐步抽取元数据/业务数据，例如：

| 回显片段（截断） | 含义（推断） |
|------------------|--------------|
| `~5.7.39-log` | MySQL 版本 |
| `~root@172.16.0.68` | 当前数据库用户 |
| `~tenant_id` / `~create_time` / `~create_by` 等 | 表字段枚举 |
| `~2025-12-23 13:1...` | 用户创建时间等数据分片 |
| `~$2a$10$...` | 密码哈希分片（敏感） |

另有 SQL 探测 `information_schema` / `table_schema='hzdyjs_xg'` 的记录，表明已进入库表枚举阶段。

> 完整敏感哈希与用户明细不在正文展开；原始摘录见同目录附件。

---

## 5. 典型攻击链路（日志还原）

```text
POST /auth/register
  → selectRegisterEnabled(tenantId)  // 参数含恶意 tenantId
    → 查询 sys_config(config_key=sys.account.registerUser)
      → 多租户插件拼接: AND tenant_id = '<恶意内容>'
        → extractvalue(...) 报错回显
          → 泄露 version / user() / database / 表字段 / 业务数据分片
```

该链路与 Word 报告 Burp 截图、成果描述（root 权限判定、用户数据拖取、初始密码配置等）一致。

---

## 6. 附件清单（本目录）

目录：`问题整改/攻击日志摘录/`

| 文件 | 内容 |
|------|------|
| `stats.txt` | 主日志命中统计与时间分布 |
| `primary-xpath-context.txt` | 首批 XPATH 上下文（含 register + root） |
| `primary-extract-sql-samples.txt` | 被注入的 SQL 样本 |
| `primary-register-hits.txt` | `/auth/register` 异常样本 |
| `primary-root-leaks.txt` | `root@172.16.0.68` 泄露样本 |
| `primary-sysconfig-hits.txt` | SysConfigMapper 报错样本 |
| `evidence-block-auth-register-root.txt` | 连续证据块（从版本探测到 root 泄露） |

---

## 7. 处置建议（日志侧）

1. 将本摘录作为攻防复盘/整改验收附件归档。  
2. 代码侧已完成 `tenantId` 白名单与注册接口加固后，需在**生产发布**后再做一次同类关键字复查（应不再出现 `extractvalue`/`XPATH`/`tenant_id = '...extractvalue`）。  
3. 因日志显示存在密码哈希分片外泄痕迹，建议同步：**强制相关账号改密、轮换初始密码与第三方密钥、审计异常登录**。  

---

## 8. 一句话结论

**客户日志可证实：2026-09-16 当日存在针对 `/auth/register` + `tenantId` 的报错型 SQL 注入，成功回显 `root@172.16.0.68`，并持续拖取库表元数据与业务数据；与 Word 补充成果报告一致。**