SQL Server数据在具有Intranet IP地址的备注字段中具有脚本标记

Question

我们有一个ColdFusion页面，管理员可以在登录后插入/更新一些房地产记录。我们注意到在一个表的Memo字段中称为“描述”，有时会偶尔标记黑客/垃圾信息。我介绍了Captcha。该页面受密码保护，没有任何页面链接 - 搜索引擎无法访问，除非有人意外地发出了网址。我们现在还在跟踪正在进行插入/更新的人的IP地址。但我们仍然只是看到描述字段中的所有数据都有[垃圾文本] - 附加'到有效文本的末尾，内部IP地址为192.168.0.101。这个IP是某人的个人电脑。我们的一个理论是该人的计算机受到了损害。但那种病毒会起什么作用呢？此外，我想要做的是拥有一个名为“已批准”的字段，默认情况下为“否”，但只要插入/更新发生，它就会转到“否”并“触发”向管理员发送有关更改的电子邮件。 SSMS内部的语法可能是什么？谢谢！

Answer 1

最可能的原因是SQL注入。可能是您的内部PC受到恶意软件或使用多种攻击之一攻击您网站的恶意软件的攻击。其中最常见的是您正在描述的内容...将内容附加到数据库中的文本或字符字段的末尾。这是一个常见攻击的description就可以了。

我还会查看以下内容

• 确保处理程序脚本也被“锁定” - 而不仅仅是根网址。有时，您包含的脚本可通过URL访问，并用于黑客攻击。
• 在您的网站中查找可能未受密码保护的旧代码。如果您有遗留代码库，那么有一些旧代码需要清理：）
• 在网络日志中查找URL参数，其值以 EXEC开头（ - 这是注入的常用方法。
• 严格扫描有问题的电脑。安装charles或wireshark并观察HTTP流量以查看正在发生的事情。

最后，检查所有鳕鱼是否存在SQLi漏洞。确保所有变量都使用cfqueryparam并且您有其他控件。密码不是您需要的唯一保护级别：）