alert http $EXTERNAL_NET any -> $HTTP_SERVERS any (msg:"ET WEB_SERVER SQL Injection Local File Access Attempt Using LOAD_FILE"; flow:established,to_server; http.uri; content:"LOAD_FILE("; nocase; fast_pattern; reference:url,dev.mysql.com/doc/refman/5.1/en/string-functions.html#function_load-file; reference:url,pentestmonkey.net/cheat-sheet/sql-injection/mysql-sql-injection-cheat-sheet; classtype:web-application-attack; sid:2016936; rev:4; metadata:affected_product Web_Server_Applications, attack_target Web_Server, created_at 2013_05_29, deployment Datacenter, signature_severity Major, tag SQL_Injection, updated_at 2020_09_18;)

这是一个 Snort IDS 的规则，用于检测基于 SQL 注入攻击的本地文件访问尝试，利用 MySQL 数据库中的 LOAD_FILE() 函数。规则会对从 $EXTERNAL_NET 到 $HTTP_SERVERS 的 HTTP 流量进行检测，如果 HTTP URI 中包含 "LOAD_FILE("，则触发警报，同时给出相关引用和元数据信息。该规则适用于 Web 服务器应用程序和 Web 服务器目标，部署在数据中心环境中。

相关问题

alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"ET WEB_SERVER PHP Possible file Remote File Inclusion Attempt"; flow:established,to_server; http.uri; content:".php?"; content:"=file|3a|//"; reference:cve,2002-0953; reference:url,diablohorn.wordpress.com/2010/01/16/interesting-local-file-inclusion-method/; classtype:web-application-attack; sid:2013002; rev:6; metadata:created_at 2011_06_10, updated_at 2020_04_20;)

这是一个Snort规则，用于检测网络流量中是否存在可能的远程文件包含攻击尝试。当HTTP流量中出现URI路径中包含".php?"和"=file://"(或"=file%3A//")时，该规则会被触发，表示可能存在攻击行为。该规则的引用包括CVE编号2002-0953和一个博客文章的URL，提供更多关于本地文件包含漏洞的信息。

alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"ET WEB_SERVER PHP Possible php Remote File Inclusion Attempt"; flow:established,to_server; http.uri; content:".php?"; content:"=php|3a|//"; reference:cve,2002-0953; reference:url,diablohorn.wordpress.com/2010/01/16/interesting-local-file-inclusion-method/; classtype:web-application-attack; sid:2013001; rev:5; metadata:created_at 2011_06_10, updated_at 2020_04_20;)

这是一条 Snort 规则，用于检测可能的 PHP 远程文件包含攻击。当有从 $EXTERNAL_NET 到 $HOME_NET 的 HTTP 流量时，如果 URI 中包含 ".php?"，并且 URI 中包含 "=php|3a|//"，则 Snort 会触发一个警报。该规则引用了 CVE-2002-0953，该漏洞是 PHP 中的一个本地文件包含漏洞。该规则还引用了一个博客文章，该文章介绍了一个有趣的本地文件包含方法。该规则的分类类型为 web-application-attack，SID 为 2013001，版本为 5。