Wazuh检测SQL注入攻击

1.1 功能简介

Wazuh 检测来自包含select union其他常见SQL注入模式的Web服务器日志的SQL注入攻击，SQL 注入是一种攻击，威胁参与者将恶意代码插入传输到数据库服务器的字符串中进行解析和执行。成功的SQL注入攻击允许未经授权访问数据库中包含的机密信息。

1.2 测试环境

2.环境配置

2.1Ubuntu配置

安装Apache并配置Wazuh代理以监控Apache日志

sudo apt update
sudo apt install apache2

添加防火墙策略允许Apache服务

sudo ufw app list
sudo ufw allow 'Apache'
sudo ufw status

sudo systemctl status apache2

curl http://192.168.208.151

<ossec_config>
  <localfile>
    <log_format>apache</log_format>
    <location>/var/log/apache2/access.log</location>
  </localfile>
</ossec_config>

sudo systemctl restart wazuh-agent

2.2攻击测试

curl -XGET "http://192.168.208.151/users/?id=SELECT+*+FROM+users";

2.3查看告警信息

注入失败会可以通过该规则查询：rule.id:31103，注入成功可以通过rule.id:31106

  <active-response>
    <command>firewall-drop</command>
    <location>local</location>
    <rules_id>31103,31106</rules_id>
    <timeout>180</timeout>
  </active-response>

重启Wazuh服务

sudo systemctl restart wazuh-manager

iptables -nvL