MySQL 8.0 应急响应实战：3步定位SQL注入攻击源与日志分析取证

1. 攻击特征识别与日志定位

当MySQL数据库遭遇SQL注入攻击时，系统通常会留下三类关键日志痕迹：

通用查询日志（General Query Log）

# 检查是否开启通用日志记录
mysql -uroot -p -e "SHOW VARIABLES LIKE 'general_log%'"

# 临时开启通用日志（若未启用）
mysql -uroot -p -e "SET GLOBAL general_log = 'ON'; 
SET GLOBAL general_log_file = '/var/log/mysql/mysql-general.log';"

错误日志中的典型注入特征
在 /var/log/mysql/error.log 中可能出现以下模式：

2024-03-15T09:23:17.123456Z 1056 [Warning] Aborted connection 1056 to db: 'webapp' user: 'app_user' host: '192.168.1.100' (Got an error reading communication packets)
2024-03-15T09:23:18.234567Z 1057 [Note] Access denied for user 'app_user'@'192.168.1.100' (using password: YES)

慢查询日志中的异常请求
通过 mysqldumpslow 工具分析异常请求模式：

mysqldumpslow -s t -t 10 /var/log/mysql/mysql-slow.log

关键日志文件路径对比表

日志类型	默认路径	记录内容
错误日志	/var/log/mysql/error.log	服务异常、认证失败、查询错误
通用日志	/var/log/mysql/mysql-general.log	所有执行的SQL语句
慢查询日志	/var/log/mysql/mysql-slow.log	执行时间超过阈值的查询
二进制日志	/var/lib/mysql/mysql-bin.*	数据修改操作（需专用工具解析）

2. 攻击源追踪与行为还原

2.1 IP关联分析技术

使用 grep 和 awk 进行快速攻击源定位：

# 统计可疑IP访问频次
grep -oE "\b[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\b" /var/log/mysql/mysql-general.log \
  | sort | uniq -c | sort -nr | head -10

# 提取特定IP的完整操作序列
grep "192.168.1.100" /var/log/mysql/mysql-general.log | awk -F 'Query' '{print $2}'

2.2 SQL语句还原技巧

典型注入语句特征识别：

-- 联合查询注入特征
SELECT * FROM users WHERE id=1 UNION SELECT 1,2,3,@@version,5--

-- 布尔盲注特征
SELECT * FROM products WHERE id=1 AND SUBSTRING((SELECT user()),1,1)='r'

-- 时间盲注特征
SELECT * FROM orders WHERE id=1 AND IF(ASCII(SUBSTRING(database(),1,1))>100,SLEEP(5),0)

注入攻击指纹对照表

攻击类型	特征关键词	危害等级
联合查询注入	UNION SELECT , CONCAT(@@version)	★★★★
报错注入	extractvalue , updatexml , floor(rand()	★★★☆
布尔盲注	ASCII(SUBSTRING()) , LIKE	★★☆☆
时间盲注	SLEEP() , BENCHMARK()	★★☆☆
堆叠查询	; SHOW TABLES , ; DROP TABLE	★★★★★

2.3 时间线重建方法

使用 tshark 分析MySQL协议流量（如有网络层日志）：

tshark -r mysql.pcap -Y "mysql.query" -T fields \
  -e frame.time -e ip.src -e mysql.query \
  | sort -k1

3. 取证与加固操作指南

3.1 紧急处置措施

-- 立即封禁攻击IP（需root权限）
CREATE USER 'blocker'@'192.168.1.100' IDENTIFIED BY 'invalid';
REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'blocker'@'192.168.1.100';

-- 临时关闭远程访问（生产环境慎用）
SET GLOBAL bind_address = '127.0.0.1';

3.2 证据固定流程

1. 日志保全

   # 创建取证目录
   mkdir -p /evidence/mysql-$(date +%Y%m%d)
   
   # 打包关键日志
   tar czvf /evidence/mysql-$(date +%Y%m%d)/logs.tar.gz \
     /var/log/mysql/error.log \
     /var/log/mysql/mysql-general.log \
     /var/lib/mysql/mysql-bin.*
   
   # 计算哈希值
   sha256sum /evidence/mysql-$(date +%Y%m%d)/logs.tar.gz > hash_record.txt
   

2. 数据库快照

   mysqldump --all-databases --routines --triggers --events \
     --single-transaction --hex-blob \
     -uroot -p > /evidence/mysql-$(date +%Y%m%d)/full_backup.sql
   

3.3 长效防护策略

MySQL 8.0专属安全配置

[mysqld]
# 启用密码复杂度策略
validate_password.policy=STRONG
validate_password.length=12
validate_password.mixed_case_count=1
validate_password.number_count=1
validate_password.special_char_count=1

# 限制LOAD DATA LOCAL
local_infile=OFF

# 审计配置
audit_log=ON
audit_log_format=JSON
audit_log_policy=ALL

# 连接控制
max_connections=200
max_user_connections=30
connection_control_failed_connections_threshold=5
connection_control_min_connection_delay=1000

Web应用层防护建议

// PDO参数化查询示例
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(['email' => $userInput]);

// 输入过滤函数
function sanitizeInput($data) {
    return htmlspecialchars(strip_tags(trim($data)), ENT_QUOTES, 'UTF-8');
}

网络层防护矩阵

防护层级	实施措施	效果评估
应用层	参数化查询、WAF规则	阻断90%以上注入尝试
数据库层	最小权限原则、审计日志	记录所有敏感操作
网络层	IP白名单、SSL加密	防止中间人攻击
系统层	定期漏洞扫描、补丁更新	降低0day利用风险