3.5 KiB
3.5 KiB
SQL 注入攻击相关日志核查说明（2026-09-16）
1. 核查结论（重要）
1.1 后续补充（已完成）
客户另提供 问题整改/日志.rar 后，已成功定位与 Word 报告一致的攻击日志。
正式摘录文档见：
问题整改/SQL注入攻击日志摘录-20260916.md- 附件目录：
问题整改/攻击日志摘录/
1.2 关于 20260916.zip（早期误传包）
对客户提供的 问题整改/20260916.zip 完成解压与内容核查后：
该压缩包中未发现系统运行日志（如 sys-error.log / sys-info.log / sys-console.log / Nginx access/error 等），因此无法从该包中提取与 Word 报告对应的攻击日志原文。
压缩包实际内容
| 路径 | 大小约 | 说明 |
|---|---|---|
20260916/ruoyi-admin.jar |
~159MB | 后端可执行包（部署产物，不是日志） |
20260916/dist/build/h5/ |
若干静态资源 | 移动端 H5 前端构建产物 |
| 其它 | — | .DS_Store、__MACOSX 等无关文件 |
结论：当前 zip 更像是 2026-09-16 的部署备份包，而不是“昨天的系统日志”。
2. Word 报告中的攻击特征（用于后续在真实日志中检索）
依据 杭州第一技师学院智慧校园系统存在SQL注入漏洞（补充成果）.docx：
| 项 | 内容 |
|---|---|
| 检测日期 | 2026-09-16 |
| 入口站点 | http://ykt.hzdyjsxy.cn:18081/#/（mobile H5） |
| 攻击接口 | POST /prod-api/auth/register（报告截图为 /prod-api/auth//register） |
| 注入参数 | JSON 字段 tenantId |
| 注入手法 | 基于报错的 extractvalue（XPATH syntax error） |
| 泄露信息 | 数据库账号形如 root@172.16.0.68；拖取 sys_config、sys_user（报告称 16278 条）等 |
| 关联代码路径（报错栈） | SysConfigMapper / 多租户 tenant_id 条件拼接 |
3. 建议向客户补要的真实日志
请客户提供 2026-09-16（建议覆盖全天，至少渗透时段）以下文件之一或打包：
- 后端应用日志目录（典型路径）
logs/sys-error.loglogs/sys-info.log/logs/sys-console.log- 若按日滚动：
sys-error.2026-09-16.log等
- 反向代理访问日志
- Nginx：
access.log/error.log（含/prod-api/auth/register请求）
- Nginx：
- 如有 WAF / 网关日志，一并提供
建议检索关键字（拿到真实日志后）
/auth/register
tenantId
extractvalue
updatexml
XPATH syntax error
SysConfigMapper
tenant_id
java.sql.SQLException
root@
sys_config
sys_user
命中后应重点保留：时间、来源 IP、请求 URI、异常堆栈、是否返回 500、是否伴随大量异常 SQL。
4. 与本仓库整改的对应关系
本仓库已完成针对该漏洞的代码加固（详见同目录其它说明）：
tenantId格式白名单（sink）/auth/register先校验租户再查注册开关- 删除心理咨询 debug 任意 SQL 接口
- 清理其它高危手写拼接 SQL（P0/P1/单点 LIMIT）
在真实攻击日志到位后，可再补一版《攻击日志摘录》附录，把命中行按时间线附入本文。
5. 下一步
请客户重新提供 含 2026-09-16 运行日志的压缩包（或直接给 logs/ 目录）。收到后可继续：
- 按上述关键字自动检索并摘录
- 形成独立《SQL注入攻击日志摘录》文档（含时间线、源 IP、异常片段）
- 与 Word 报告截图逐条对照
文档生成时间：2026-09-17
核查对象：问题整改/20260916.zip + Word 渗透补充成果