今天网站被 Sql 注入了。本人新手，求教育

[lalalafq]

今天网站被监控中心预警说被 Sql 注入了。文件目录下有一个被注入的文件，可以上传任意文件，包括脚本文件，请求对应的路径就想做什么就能做什么了。现在不知道哪个口子出现了这个漏洞，改了部分代码和配置，不知道还有没有别的地方有遗漏。顺便问一下有没有可以测试的工具啥的。

注：环境： windows server 2008 + Sqlserver 2005 + IIS6.x

[am241]

如果用的成品系统，可以先去乌云搜索一下漏洞

如果是 GET 提交的注入点，可以看一下日志里有没有奇怪的记录

[alex321]

windows server 2008 怎么会上 iis6 。。。。。

[longr923]

过滤

[UnisandK]

https://code.google.com/archive/p/hackbar/

[lalalafq]

@alex321 查看关于里面，是 6.x ，然后括号里面是 7

[lalalafq]

@am241 乌云下面没有

[lalalafq]

@longr923 过滤了，但是不知道怎么测试

[lalalafq]

@UnisandK thx ，我试试

[hicdn]

可以用加速乐 https://www.yunaq.com/

[lalalafq]

我需要一个能测试的工具或者方法。谢谢大家

[publicID002]

自己写的软件的话换参数绑定才是根本
查的话 sqlmap 自己扫下吧

[pimin]

sqlmap ， appscan

[a84945345]

https://www.newdefend.com/牛盾云安全，你值得拥有··
还有高防 DNS ，什么都解决了··

[a84945345]

我去 不能编辑

https://www.newdefend.com/

[Slienc7]

https://www.safedog.cn/

[shiny]

一个小技巧：
1 、记录创建这个文件时的 ip
2 、记录访问过这个文件的所有 ip

将该 ip 访问过的 URL 全部抓出来，往往能看到他攻击的手段

[maskerTUI]

@Slienc7 同事有打狗的 0day 。

[strwei]

2L+1 ，而且楼主用的 2005 ，微软 2016 都出来了还在玩老古董

[ixinshang]

@shiny 请问， linux 怎么实现呢

[imlonghao]

来 http://ce.wooyun.org/ 玩玩～

[shiny]

@ixinshang 「记录」的意思是记下比如 nginx 、 apache 、 IIS 日志里的 ip ，然后去搜索同 ip 访问过的 url 。这个无所谓是 Windows 还是 Linux 。

除了搜索日志里访问木马 url 的 ip ，还可以记下木马文件创建的时间，然后去看同时间段的 web 日志，然后就可以找到可疑 ip 。

把可疑 ip 访问的 URL 挨个列出来，就可以看到他的攻击手法，定位出漏洞位置。

[just1]

1.不要过度依赖 waf ， waf 可以拦住技术差一点的，经验老道的有各种姿势绕过。
2.不要拼接 SQL 语句！不要拼接 SQL 语句！不要拼接 SQL 语句！重要的事情说三遍。建议把涉及数据库的全部重写。
3.升级相关服务的版本，老了各种洞很多。
4.估计被传了 shell ，检查一下文件。可以用服务器安全狗对文件进行扫描(遇到免杀就呵呵)
5.360 好像有个网站漏洞检查的，可以试试，但肯定不全

[ixinshang]

@shiny 好的 谢谢

[lalalafq]

@just1 谢谢

[lalalafq]

@pimin 非常感谢，用了 sqlmap

[ptk555]

安全狗大法好