2024hw蓝队面试题--4

SQL注入特征，误报原因以及怎么处理告警？

1.非法字符检测：这种类型的攻击通常会使用特殊字符，如单引号(')、双引号(")、分号(;)、注释符号(--或/、/)等。检测输入中是否包含这类特殊字符是识别SQL注入攻击的一种方法。

2.堆栈查询和联合查询：攻击者可能会使用UNION SELECT等语句来尝试提取数据库表的信息。另外，使用';'连接多个查询语句也是SQL注入攻击的常见特征。

3.条件操作符：如果用户的输入中包含了例如“OR ‘1’=’1”之类的语句, 那么这可能是一个SQL注入攻击。

4.使用信息函数：比如CURRENT_USER(),SYSTEM_USER(),USER等，这些都可以提供给攻击者有用的信息。

5.时间延迟和布尔盲注：例如使用 sleep、WAITFOR DELAY '0:0:10'和if语句的使用。

SQL注入的误报原因主要有：

1.正常请求中包含特殊字符：有些正常请求中可能会包含一些可能被误认为是SQL注入攻击的特殊字符，这可能会导致误报。

2.防火墙规则设置过于严格：如果防火墙或入侵检测系统的规则设置得过于严格，可能会将一些正常的请求误认为是攻击。

3.漏洞扫描工具的误报：有些漏洞扫描工具可能采用一些较为简单的检测规则，可能会产生误报。

处理SQL注入告警的方法主要有