mysql - 如何检查黑客是否修改或更改了表或向数据库添加了列

Question

我需要检查黑客是否修改或更改了 PHPMyAdmin 中的表或向 MySQL 数据库添加了列，或者他是否更改了服务器上的 Wordpress 文件，以便他可以继续出于邪恶目的攻击我的网站。

我注意到自 7 月 19 日以来网站点击量下降了 2/3 以上，我想知道发生了什么。这张图片显示我有 1800 次访问，但图表显示 http://tinypic.com/r/1zw0nxv/8 仅有 600 次访问 我立刻感觉到我的网站被黑了，有人在窃取我的流量。 所以我说，“你在18上安装了什么插件或主题”？ 我在 18 日安装了购买的插件。

我注意到几天前未经我许可安装了一个名为 SQL Executioner 的 WP 插件。知道我已经安装了 18 或 19 日的插件我认为 SQL Executioner 插件与它一起打包，或者安装它的代码放置在我上传到 WP 管理仪表板的插件中。我没有使用 SQL 命令的经验，但是 我在 Wordfence 和其他网站上了解到，黑客可以利用您的网站发起攻击、将广告加载到他们的优惠中，或者使用插件和主题窃取流量。 我认为 SQL Executioner 允许黑客访问 PHPMyAdmin 中的 MySQL 数据库，这样他们就可以窃取我的流量。

我在 https://github.com/justincwatt/wp-sql-executioner/blob/master/sql-executioner.php 查看了 SQL Executioner您可以更改和修改表格或添加列。

仅供引用:我删除了 18 日安装的插件，并删除了 PHPMyAdmin MySQL 中的所有 3 个表和 wp_options 表中的 2 行。 我在 MYSQL 中没有发现 SQL Executioner 的(明显)行或表。

我的统计数据仍然很低，因此黑客仍然可以访问我的网站(即使在我更改登录名之后)，因为他具有数据库访问权限。 我希望有人帮助我查明哪些表或列在 18 日或 19 日被修改、更改或添加到我的数据库中。 换句话说，我想知道在我的数据库上执行了哪些命令，因为我根本不执行命令、执行操作、触发器等。或者，如果黑客通过数据库黑客将恶意软件代码存储在服务器上的 Wordpress 文件中。

提前致谢

Answer 1

第一个也是最重要的方法就是在 MYSQL 端实现审计。现在，如果您是数据库专家，这可能是跟踪异常情况并定期运行审核报告的最简单方法。例如，对于诸如列数是否增加或某些创建表或更改表已发布之类的报告来说，这是一个好的开始。也很高兴看到代码来自哪些模块。
在此类审核期间，您还可以运行并行 session 信息来关联其源自哪个应用程序，以确认应用程序服务器上的应用程序模块。

可以通过从前端运行查询到审核日志/历史表并生成所需的结果来完成相同的操作。
如果您过于偏执，您可以使用与具有最安全信息的表相关的选择查询来实现审核，并查看这些查询来自何处。如果这些查询来自不是您的应用程序服务器的资源或位置，您可以有一个定期发送信息的报告/查询。然后你就捕获了罪魁祸首。这些审计报告/查询可以被安排为定​​期运行的作业，或者如果您仍然更加偏执，它们也可以基于触发器运行:-)

注意:这是一个响应式(Reactive)解决方案。如果你的网络安全、sql代码和前端代码都通过良好的安全标准完成，那么你遇到此类情况的机会就会更少。最好聘请一位专家来为您的系统和数据库提供如此深入的安全分析，并确保从所有不必要的端口、服务、通信等开始，全部被阻止和保护。因此您可以处理很少或根本不存在的安全问题。