大規模 SQL 注入攻擊鎖定中文網站：攻擊手法、影響與防禦指南

根據台灣阿碼科技 (Armorize Technologies) 監測，2008 年 5 月中旬起，大量中文網站 (含中國大陸、台灣) 遭受自動化 SQL 注入攻擊，已有數千網站被植入惡意程式碼。攻擊特徵：來源 IP 未隱藏、採用暴力枚舉手法、針對所有使用 SQL 的輸入欄位、造成永久性資料竄改。

攻擊時間線與規模

• 首次偵測：2008-05-13
• 攻擊來源：國內伺服器叢集，IP 明碼可見
• 手法：自動化 SQL 注入引擎，暴力嘗試所有輸入點
• 影響：單週五超過 1 萬台伺服器受害，知名網站如搜房網、深圳汽車大世界等中招
• 後果：網頁內容被 HTML 亂碼取代、植入惡意腳本進一步攻擊瀏覽者瀏覽器漏洞

攻擊原理回顧

1. 攻擊者向網頁輸入欄位 (登入框、搜尋框、URL 參數) 注入 SQL 片段。
2. 應用程式未參數化、直接拼接字串執行，導致注入成功。
3. 取得資料庫權限後，在網頁輸出點植入 <script>、<iframe> 等惡意碼。
4. 訪客瀏覽被感染頁面 → 瀏覽器漏洞被利用 → 成為下一波跳板或勒索軟體受害者。

防禦核心清單 (開發/維運必做)

緊急排查腳本 (檢查是否被植入惡意碼)

-- 掃描所有使用者資料表的字串欄位是否包含可疑標籤
DECLARE @sql NVARCHAR(MAX) = N'';
SELECT @sql += '
SELECT ''' + QUOTENAME(SCHEMA_NAME(o.schema_id)) + '.' + QUOTENAME(o.name) + ''' AS TableName,
       ''' + QUOTENAME(c.name) + ''' AS ColumnName,
       COUNT(*) AS AffectedRows
FROM ' + QUOTENAME(SCHEMA_NAME(o.schema_id)) + '.' + QUOTENAME(o.name) + '
WHERE ' + QUOTENAME(c.name) + ' LIKE ''%