SQL Server 資料庫被掛馬事件應急處理與防禦體系建設完整指南

案例還原：某網站遭遇自動化 SQL 注入掛馬攻擊

• 現象： 所有使用者表的大部分字串欄位被重複注入惡意腳本 (如 `'; -- 實際惡意碼特徵 -- 1. 確認受影響範圍 SELECT COUNT(*) FROM dbo.@TableName WHERE @ColumnName LIKE '%' + @MaliciousScript + '%'; -- 2. 執行清理 (REPLACE 移除惡意片段) -- 注意：CAST 確保 TEXT/NTEXT/IMAGE 類型可操作，VARCHAR(MAX) 現代類型無需 CAST UPDATE dbo.@TableName SET @ColumnName = REPLACE(CAST(@ColumnName AS NVARCHAR(MAX)), @MaliciousScript, N'') WHERE @ColumnName LIKE '%' + @MaliciousScript + '%'; -- 3. 驗證清理結果 SELECT COUNT(*) FROM dbo.@TableName WHERE @ColumnName LIKE '%' + @MaliciousScript + '%'; -- 應為 0

  批次化清理策略 (數百張表、數千欄位)

  1. 查詢 `INFORMATION_SCHEMA.COLUMNS` 取得所有 `CHAR/VARCHAR/NCHAR/NVARCHAR/TEXT/NTEXT` 欄位。
  2. 動態產生上述 `UPDATE` 腳本集合。
  3. **分批次執行** (每批 10-20 表)，監控交易記錄增長、鎖爭用、磁碟 IO。
  4. 每批次完成後 `CHECKPOINT` + `BACKUP LOG` 截斷記錄檔 (完整復原模式)。
  5. 清理期間**設定資料庫為限制存取模式** (`ALTER DATABASE SET RESTRICTED_USER`)，防止新注入干擾。

  關鍵技術細節

  • 多重注入： 同一欄位可能被注入多次、多種惡意碼。需提取所有唯一惡意片段特徵，迴圈清理或使用 `TRANSLATE`/`正則` (CLR) 一次性清理多模式。
  • 編碼繞過： 攻擊者可能使用 `CHAR(60)+CHAR(115)+...`、十六進位、Unicode 編碼。清理前需**解碼還原**再比對。
  • 資料完整性： `REPLACE` 可能誤傷正常業務資料 (如合法包含 `