SQL 注入與 XSS 跨站腳本攻擊偵測：正則表達式規則庫（下）

2.3 典型 SQL 注入攻擊正則：單引號 + OR 關鍵字

/\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix

解析：

• \w*：零或多個字母數字底線
• (\%27)|(\')：單引號或其 URL 編碼 %27
• ((\%6F)|o|(\%4F))((\%72)|r|(\%52))：or 不分大小寫及其十六進位編碼 (%6F%72 / %4F%52)

2.4 UNION 注入偵測：單引號 + UNION 關鍵字

/((\%27)|(\'))union/ix

可擴展偵測 select, insert, update, delete, drop, create, alter, exec, xp_, sp_ 等關鍵字。

2.5 MS SQL Server 危險預存程序偵測

/exec(\s|\+)+(s|x)p\w+/ix

解析：

• exec：執行關鍵字
• (\s|\+)+：一或多個空白或 + (URL 編碼空白)
• (s|x)p：sp_ 系統預存 / xp_ 擴展預存
• \w+：程序名稱

典型攻擊目標：xp_cmdshell (執行 OS 命令)、xp_regread/write (操作登錄表)、sp_OACreate (COM 物件)。

3. 跨站腳本 (XSS) 攻擊偵測正則庫

3.1 通用 HTML 標籤偵測

/((\%3C)|<)((\%2F)|\/)*[a-z0-9\%]+((\%3E)|>)/ix

解析：

• ((\%3C)|<)：< 或 %3C
• ((\%2F)|\/)*：可選的關閉標籤 / 或 %2F
• [a-z0-9\%]+：標籤名稱 (含十六進位編碼字符)
• ((\%3E)|>)：> 或 %3E

Snort 規則範例：

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \
(msg:"NII Cross-site scripting attempt"; \
 flow:to_server,established; \
 pcre:"/((\%3C)|<)((\%2F)|\/)*[a-z0-9\%]+((\%3E)|>)/i"; \
 classtype:web-application-attack; sid:9000; rev:5;)

3.2 <img src XSS 變種偵測

/((\%3C)|<)((\%69)|i|(\%49))((\%6D)|m|(\%4D))((\%67)|g|(\%47))[^\n]+((\%3E)|>)/I

偵測 不分大小寫及編碼變體，後接任意非換行字符至 >。

/((\%3C)|<)[^\n]+((\%3E)|>)/I