パート SQL インジェクションシリーズ - リアルタイム検出のためのハニーポットの構築-mysql チュートリアル-php.cn

パート SQL インジェクションシリーズ - リアルタイム検出のためのハニーポットの構築

Mary-Kate Olsen

リリース： 2024-12-14 01:31:11

オリジナル

442 人が閲覧しました

Part SQL Injection Series - Building Honeypots for Real-Time Detection

著者: Trix Cyrus

ウェイマップ侵入テストツール: ここをクリック
TrixSec Github: ここをクリック
TrixSec テレグラム: ここをクリック

SQL インジェクション (SQLi) シリーズのパート 9 へようこそ!この記事では、攻撃者を引きつけて貴重な情報を収集するために設計されたツールであるハニーポットの魅力的な世界に飛び込みます。ハニーポットは SQLi の試みに対する独自の視点を提供し、リアルタイムの検出と悪意のある動作に対するより深い洞察を可能にします。

ハニーポットとは何ですか?

ハニーポットは、現実世界のアプリケーション、データベース、サーバーを模倣するように設計された意図的に脆弱なシステムです。運用システムとは異なり、ハニーポットは正規のデータを保存したり、実際のサービスを提供したりしません。代わりに、彼らの目的は攻撃者をおびき寄せ、その活動を監視し、そのツール、テクニック、ペイロードに関する情報を収集することです。

SQL インジェクションにハニーポットを使用する理由

ハニーポットの導入にはいくつかの利点があります:

早期脅威検出: SQLi の試行が実稼働システムに到達する前に特定します。
行動分析: 攻撃者の戦略、ペイロード、ツールを理解します。
インシデント対応の改善: 実用的なインテリジェンスを取得して防御を強化します。
欺瞞戦術: 攻撃者を実際の資産からそらし、時間とリソースを無駄にします。

SQL インジェクションハニーポットを構築する方法

1.適切な環境を選択してください

低インタラクション または 高インタラクション ハニーポットを使用するかどうかを決定します:

低インタラクションハニーポット: 限られた機能で基本的な脆弱性をシミュレートし、セットアップが簡単です。
高インタラクションハニーポット: 運用システムを完全に模倣し、より深い洞察を提供しますが、意図しない悪用を避けるために堅牢な管理が必要です。

2.おとり Web アプリケーションを作成する

攻撃者にとって本物のように見える偽の Web アプリケーションを構築します。

入力を受け入れるフォーム、検索フィールド、またはログインページを含めます。
脆弱なクエリの例:

  SELECT * FROM users WHERE username = '$input' AND password = '$password';

ログイン後にコピー

3.データベースをシミュレートする

偽のデータを含むダミーデータベースをセットアップします。 MySQL や SQLite などのツールはうまく機能します。データベースが機密システムに接続しないようにしてください。

説得力のあるものにするために、現実的だが意味のないデータを入力します。

4.意図的な脆弱性を追加

次のような SQL インジェクションの脆弱性を意図的に導入します。

入力のサニタイズが不足しています。
ユーザー入力を使用した連結クエリ。

5.ロギングとモニタリングを展開する

ハニーポットとのすべてのやり取りを監視して、攻撃者の行動を捕捉します。

次のような試行された SQL ペイロードをログに記録します。

  SELECT * FROM users WHERE username = '$input' AND password = '$password';

ログイン後にコピー

ELK Stack や Splunk などのツールは、リアルタイムでログを分析できます。

6.ハニーポットを隔離する

意図しない侵害を防ぐために、ハニーポットを実稼働システムから隔離したままにします。導入にはファイアウォール、仮想マシン、またはサンドボックス環境を使用します。

セットアップ例

これは、Flask を使用して SQLi ハニーポットを作成する基本的な Python の例です。

  ' OR 1=1; DROP TABLE users; --

ログイン後にコピー

監視対象

ペイロード分析: 次のような悪意のあるクエリを記録して分析します。

from flask import Flask, request
import sqlite3

app = Flask(__name__)

# Dummy database setup
def init_db():
    conn = sqlite3.connect('honeypot.db')
    c = conn.cursor()
    c.execute("CREATE TABLE IF NOT EXISTS users (id INTEGER PRIMARY KEY, username TEXT, password TEXT)")
    c.execute("INSERT INTO users (username, password) VALUES ('admin', 'password123')")
    conn.commit()
    conn.close()

@app.route('/login', methods=['POST'])
def login():
    username = request.form['username']
    password = request.form['password']

    # Deliberate vulnerability: SQL query concatenates user input
    query = f"SELECT * FROM users WHERE username='{username}' AND password='{password}'"
    print(f"Query executed: {query}")  # Logs the SQL query

    conn = sqlite3.connect('honeypot.db')
    c = conn.cursor()
    c.execute(query)
    result = c.fetchall()
    conn.close()

    if result:
        return "Login successful!"
    else:
        return "Invalid credentials."

if __name__ == "__main__":
    init_db()
    app.run(debug=True)

ログイン後にコピー

IP 追跡:

SQLi が悪意のあるソースを識別しようとしている IP アドレスをログに記録します。
行動パターン:

繰り返される試行と進化するペイロードを監視して、防御を適応させます。

ハニーポットの効果を高める

脅威インテリジェンスとの統合:

ハニーポットからの洞察をグローバル脅威インテリジェンスプラットフォームと共有して、コミュニティに貢献します。
自動アラート:

PagerDuty や Slack Webhooks などのツールを使用して、不審なアクティビティに対するリアルタイムアラートを構成します。
機械学習:

ML モデルを使用して SQLi 試行のパターンを特定し、将来の攻撃を予測します。