Sae网站异常流量分析以及Sql注入和爬虫安全
2015-01-08(四)
by chenjia.me
云豆不够了？
今天早上SAE突然给我发邮件说我的云豆预计7天内用完！逗我呢。。我可是每个月10k云豆的人啊，绝对有问题。马上开电脑看，发现我的一个php架构的网站这个月7天用了5000+的云豆，之前的平均水平应该是在每日几十而已。
这样不科学，我们肯定要查看为什么，通过SAE的计费统计-资源报表来进行查看，发现HTTP的流出流量巨大，而且流入流出差距非常大。
那么问题就处在这里了，那我们得马上去看访问日志了安全与运维-日志中心查看HTTP请求，这里我们就可以发现最近10k的请求都来自哪里，访问了哪些页面，访问类型等，可以说是很全的，还提供下载功能。
这时候我们可以发现所有的请求都在访问一个list.php的页面，很好，我们马上就找到问题了。
抓出元凶
上文提到了list.php这个文件，我们通过日志清楚的看到，有人在对他进行get和post请求，而且还有数字和like，猜测是爬虫或者是机器木马以及sql注入。
日志
wp.chenjia.me 188.165.15.66 144841 90 [05/Jan/2015:00:09:02 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2081&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387742982432 yq24
wp.chenjia.me 188.165.15.66 217763 143 [05/Jan/2015:00:09:38 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2098&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387778914382 yq22
wp.chenjia.me 188.165.15.66 280660 160 [05/Jan/2015:00:09:57 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2075&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387797767577 yq22
wp.chenjia.me 188.165.15.66 244504 183 [05/Jan/2015:00:10:26 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2068&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387826118131 yq48
wp.chenjia.me 188.165.15.209 228733 80 [05/Jan/2015:00:11:08 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2026&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.209.1420387868681249 yq24
日志中我们获得了攻击者的ip以及http的头部信息，通过查询http://ahrefs.com/robot/我们发现这是一个正规的网站，也就是说攻击者仿照了这个头部信息而已（事实上这也是非常简单的）
好奇一下他们在我的网页留下来了好多信息，还好我在网页留言的时候后台记录了发布者的ip和时间，我们通过查询数据库可以看到。以下内容。
(2269, 'AImiQwNlahFndy', 'SyvyvzufCMvuz', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#cialiscanadian">cialis 20mg canadian</a>, <a href="http://canadianpharmacyrxbest.com/#howtoordercialisincanada">free cialis in canada</a>, <a href="http://canadianpharmacyrxbest.com/#genericviagracialiscanada">canadian pharmacy cialis soft tabs</a>, <a href="http://canadianpharmacyrxbest.com/#buycialisonlinecanadapharmacy">cialis canada over counter</a>, <a href="http://canadianpharmacyrxbest.com/#achetercialisaucanada">mail order cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialissalesonlinecanada">pharmacie francaise en ligne cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cialiscostincanada">how to order cialis from canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialispricesincanada">purchase cialis in canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialisuspharmacy">cialis online canada reviews</a>, ', 1, 1, 2, '94.153.11.98', '2015-01-05 22:18:39', NULL),
(2270, 'wtVcdABQmufsTrhV', 'keIWGoWmNRKKdxgrYNl', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#onlinepharmacycialisreviews">cheap canadian cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cialisprofessionalcanadianpharmacy">cialis uk pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#onlinepharmacywwwbuycialisusa">reliable online pharmacy cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cialis5mgfromcanada">cialis canada pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#canadacialisprices">canada viagra cialis</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmaciessellingcialis">buying real cialis online canada</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmacycialischeap">real cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#canadiangenericcialis">canada pharmacy drugs cialis</a>, ', 1, 2, 2, '94.153.11.98', '2015-01-05 22:26:12', NULL),
(2271, 'YzfMXRrCh', 'XvizwRTzT', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#canadianpharmacyviagraandcialis">canada pharmacy cialis online</a>, <a href="http://canadianpharmacyrxbest.com/#bestonlinepharmacytobuycialis">canadian cialis for sale</a>, <a href="http://canadianpharmacyrxbest.com/#cialisbrandedcanadianpharmacy">cialis and viagra from canada</a>, <a href="http://canadianpharmacyrxbest.com/#onlinecialisincanada">canadian pharmacy with cialis</a>, <a href="http://canadianpharmacyrxbest.com/#onlinecialiscanadian">canadian pharmacy cialis 10mg</a>, <a href="http://canadianpharmacyrxbest.com/#cialisinternetpharmacy">pharmacie francaise en ligne cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cheapcialiscanadapharmacyonline">cialis canada over counter</a>, <a href="http://canadianpharmacyrxbest.com/#buyingcialisonlineincanada">canadian cialis reviews</a>, <a href="http://canadianpharmacyrxbest.com/#bestonlinepharmacycialis">how much does cialis cost in canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialisfordailyusefromcanada">cialis vs viagra canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialisbrandcanadadiscount">pharmacie francaise en ligne cialis</a>, ', 1, 1, 1, '94.153.11.98', '2015-01-05 22:40:41', NULL),
(2272, 'moyJWBpSRJEiqYCu', 'xUqloQDwcdMfZv', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#cialisvsviagracanada">cialis in canada over the counter</a>, <a href="http://canadianpharmacyrxbest.com/#cialisviagracanada">cost cialis walmart pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#cialisviagraonlinecanada">viagra cialis canadian pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#cheapgenericcialisfromcanada">cialis canada mail order</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmacyviagra+cialis">pharmacy cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmacompaniescialis">cialis professional canadian pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#bestonlinepharmaciesforcialis">cialis by mail canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialispillsincanada">is canadian cialis safe</a>, <a href="http://canadianpharmacyrxbest.com/#cialiscanadabuy">real cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#mailordercialiscanada">20 mg cialis canada</a>, ', 1, 1, 1, '94.153.11.98', '2015-01-05 22:47:54', NULL),
很明显的随机生成，留言的内容都是<a>标签，留下的网址都是同一个，也就是加拿大的xx医药网址（18+）的，很明显是一个推广机构在用,查询到的ip也是各种各样的~那么通过比对发现应该只有一到二个软件在攻击，不过流量巨大，每日请求的次数由几百次到几千次不等。
后续
- 我修改了一下留言的地址，然后在原来地址上留了一个纯文本来勾引spider，我看看攻击人的维护时间。
- 我用数据库里面的留言数据在Google中进行搜索，发现很多大陆网站的留言区都被写入过，高度怀疑和wp的自动留言机器是同一个类型的恶意推广模式。
- 使用开源框架或者内嵌开源框架一定要做好一些变化或者流量监控，互联网的nmap扫描太多了，很有可能你的网站的某一个功能就被robot给记录了。
- 自己的完整还是每天都来看看，发现异常的情况应该及时修改，我的这个list在我旧的主机的时候已经有了，可是那时候以为是有些人搞笑的就没太在意。
- 善于使用平台提供的工具，本地数据分析sublime就很方便~文本处理还是很快的。
列出PHP文件夹下的所有文件
2014-10-07(二)
by chenjia.me