security - 黑客企图，他们想做什么，我如何检查他们是否成功？

Question

我最近问了这个问题: Attempted exploit?

但是当我进一步检查日志时，我发现他们一直在做更多的事情，我觉得需要一个新问题来涵盖所有这些内容。

首先，我的日志中有几千条今天的日志。每分钟肯定有几千个请求。

问题 1:记录的IP是我们的主机IP。他们怎么可能欺骗这一点，或者黑客尝试是否通过受感染的计算机来自他们的网络内部？

问题 2:我有一个记录错误:

The state information is invalid for this page and might be corrupted.

这个的记录路径是:

OurURL/?ctl00$ctl00$ctrlheadermenu$ctrlsearchbox$btnsearch=sã¶k&ctl00$ctl00$cp

此外，我在堆栈跟踪中发现了这一点:

The input is not a valid Base-64 string as it contains a non-base 64 character, more than two padding characters, or a non-white space character among the padding characters.

他们想用这个做什么？

问题 3:我还发现了对此页面的请求。他们试图在哪里列出我们的内容？

OurURL/nessus=<!--#exec cmd="dir"-->

问题 4:还有一个对 thirl 的请求，我发现这是一次 SQL 注入(inject)尝试。有没有办法检查他们做了什么？如果成功的话会做什么？

OurURL/webresource.axd?'%2bconvert(varchar%2c0x7b5d)%2b'=1

可能有几千个记录的搜索和尝试的网址并不存在，但我无法在此处全部列出。

Answer 1

答案 1:IP 地址可能会被欺骗，但也有可能是受感染的内部计算机在执行此操作。

答案 2:如果这是一次攻击，则攻击者试图在您的 Base64 解码器中查找漏洞。

答案 3:是的，他们试图使用 dir 命令获取目录列表。

答案 4: convert(varchar,0x7b5d) 返回 0x7b5d 类型转换为 varchar。如果没有任何上下文，这实际上不会做任何事情。 攻击者可能一直在尝试测试查询变量名称是否直接在 SQL 查询中使用，而没有进行清理。测试本身并没有什么害处。