105 lines
3.5 KiB
Markdown
105 lines
3.5 KiB
Markdown
# SQL 注入攻击相关日志核查说明（2026-09-16）
|
||
|
||
## 1. 核查结论（重要）
|
||
|
||
### 1.1 后续补充（已完成）
|
||
|
||
客户另提供 `问题整改/日志.rar` 后，已成功定位与 Word 报告一致的攻击日志。
|
||
|
||
正式摘录文档见：
|
||
|
||
- `问题整改/SQL注入攻击日志摘录-20260916.md`
|
||
- 附件目录：`问题整改/攻击日志摘录/`
|
||
|
||
### 1.2 关于 `20260916.zip`（早期误传包）
|
||
|
||
对客户提供的 `问题整改/20260916.zip` 完成解压与内容核查后：
|
||
|
||
**该压缩包中未发现系统运行日志（如 `sys-error.log` / `sys-info.log` / `sys-console.log` / Nginx access/error 等），因此无法从该包中提取与 Word 报告对应的攻击日志原文。**
|
||
|
||
### 压缩包实际内容
|
||
|
||
| 路径 | 大小约 | 说明 |
|
||
|------|--------|------|
|
||
| `20260916/ruoyi-admin.jar` | ~159MB | 后端可执行包（部署产物，不是日志） |
|
||
| `20260916/dist/build/h5/` | 若干静态资源 | 移动端 H5 前端构建产物 |
|
||
| 其它 | — | `.DS_Store`、`__MACOSX` 等无关文件 |
|
||
|
||
**结论：当前 zip 更像是 2026-09-16 的部署备份包，而不是“昨天的系统日志”。**
|
||
|
||
---
|
||
|
||
## 2. Word 报告中的攻击特征（用于后续在真实日志中检索）
|
||
|
||
依据 `杭州第一技师学院智慧校园系统存在SQL注入漏洞（补充成果）.docx`：
|
||
|
||
| 项 | 内容 |
|
||
|----|------|
|
||
| 检测日期 | 2026-09-16 |
|
||
| 入口站点 | `http://ykt.hzdyjsxy.cn:18081/#/`（mobile H5） |
|
||
| 攻击接口 | `POST /prod-api/auth/register`（报告截图为 `/prod-api/auth//register`） |
|
||
| 注入参数 | JSON 字段 `tenantId` |
|
||
| 注入手法 | 基于报错的 `extractvalue`（XPATH syntax error） |
|
||
| 泄露信息 | 数据库账号形如 `root@172.16.0.68`；拖取 `sys_config`、`sys_user`（报告称 16278 条）等 |
|
||
| 关联代码路径（报错栈） | `SysConfigMapper` / 多租户 `tenant_id` 条件拼接 |
|
||
|
||
---
|
||
|
||
## 3. 建议向客户补要的真实日志
|
||
|
||
请客户提供 **2026-09-16**（建议覆盖全天，至少渗透时段）以下文件之一或打包：
|
||
|
||
1. 后端应用日志目录（典型路径）
|
||
- `logs/sys-error.log`
|
||
- `logs/sys-info.log` / `logs/sys-console.log`
|
||
- 若按日滚动：`sys-error.2026-09-16.log` 等
|
||
2. 反向代理访问日志
|
||
- Nginx：`access.log` / `error.log`（含 `/prod-api/auth/register` 请求）
|
||
3. 如有 WAF / 网关日志，一并提供
|
||
|
||
### 建议检索关键字（拿到真实日志后）
|
||
|
||
```text
|
||
/auth/register
|
||
tenantId
|
||
extractvalue
|
||
updatexml
|
||
XPATH syntax error
|
||
SysConfigMapper
|
||
tenant_id
|
||
java.sql.SQLException
|
||
root@
|
||
sys_config
|
||
sys_user
|
||
```
|
||
|
||
命中后应重点保留：时间、来源 IP、请求 URI、异常堆栈、是否返回 500、是否伴随大量异常 SQL。
|
||
|
||
---
|
||
|
||
## 4. 与本仓库整改的对应关系
|
||
|
||
本仓库已完成针对该漏洞的代码加固（详见同目录其它说明）：
|
||
|
||
- `tenantId` 格式白名单（sink）
|
||
- `/auth/register` 先校验租户再查注册开关
|
||
- 删除心理咨询 debug 任意 SQL 接口
|
||
- 清理其它高危手写拼接 SQL（P0/P1/单点 LIMIT）
|
||
|
||
**在真实攻击日志到位后，可再补一版《攻击日志摘录》附录，把命中行按时间线附入本文。**
|
||
|
||
---
|
||
|
||
## 5. 下一步
|
||
|
||
请客户重新提供 **含 2026-09-16 运行日志的压缩包**（或直接给 `logs/` 目录）。收到后可继续：
|
||
|
||
1. 按上述关键字自动检索并摘录
|
||
2. 形成独立《SQL注入攻击日志摘录》文档（含时间线、源 IP、异常片段）
|
||
3. 与 Word 报告截图逐条对照
|
||
|
||
---
|
||
|
||
*文档生成时间：2026-09-17*
|
||
*核查对象：`问题整改/20260916.zip` + Word 渗透补充成果*
|