php - 使用 mySQL 进程 ID 定位发出查询的 PHP 脚本

Question

我们正试图找到一个 PHP 脚本，该脚本正在组装查询并造成严重破坏。到目前为止，我们还没有成功使用grep定位脚本。

是否可以使用 show processlist 中的 mySQL pids 来定位发出查询的 PHP 脚本？

Answer 1

别这么想。很大程度上取决于实际的架构和拓扑。

也许 - 这也可能会造成巨大的破坏，具体取决于上下文 - 您可以尝试覆盖 mysql_query 函数(或各种脚本中使用的任何包装器)以识别行为不当/恶意查询并记录所有相关信息。

参见:http://no2.php.net/runkit_function_redefine

由于日志记录将从造成破坏的脚本“内部”进行，因此可以获得更多信息。

另一种可能性是过滤 MySQL 查询并在脚本中引发一些可识别的行为，例如等待很长时间或抛出错误。这可以通过 MySQL 代理来实现:https://launchpad.net/mysql-proxy

假设脚本是恶意的，无法定位它可能指向某种加密 - 通常此类脚本会大量使用 eval()、base64_decode，有时还使用 gzuncompress()。寻找这些函数可能比搜索查询片段更有成效。

一个有用的 hack，现在不是很有用，可以用暴露的评论“装饰”查询，例如，“SELECT ... WHERE ...; -- 012345”:“-- 012345”部分将是被 MySQL 忽略，但可以很容易地记录下来，grepping "-- 012345"会很快找到目标。